如何在 IdentityServer4 运行时添加/管理用户声明

Question

我正在尝试在新项目中使用 IdentityServer4。我在 PluralSight 视频“了解 ASP.NET Core 安全性”中看到，IdentityServer4 可以与基于声明的安全性一起使用来保护 Web API。我已将 IdentityServer4 设置为单独的项目/解决方案。

我还看到您可以添加一个 IProfileService 来向 IdentityServer4 返回的令牌添加自定义声明。

一个计划是向用户添加新声明，以授予他们对 api 不同部分的访问权限。但是我不知道如何从 api 项目管理 IdentityServer 上用户的声明。我假设我应该调用 IdentotyServer4 来添加和删除用户声明？

此外，这通常是一种好方法，因为我不确定允许客户端出于内部安全目的向 IdentityServer 添加声明是否有意义 - 并且可能导致冲突（例如，多个客户端使用“角色”声明值“管理员”）。也许我应该在 api 项目中本地处理安全性，然后只使用“sub”声明来查找它们？

有人对此有好的方法吗？

谢谢

Answer 1

老问题，但仍然相关。正如 cmets 中所说的最小特权

声明是关于身份 - 而不是权限

这听起来不错，但身份也可能包含可用于确定 API 中的权限的用户类型（管理员、用户、经理等）。也许设置具有特定权限的用户角色？本质上，如果 CLIENT1-Admin 不应具有与 CLIENT2-Admin 相同的权限，您也可以在客户端之间拆分角色以进行更多控制。

因此，将您的角色作为声明传递给您的 IProfileService。

public class ProfileService : IProfileService
{
    private readonly Services.IUserService _userService;

    public ProfileService(Services.IUserService userService)
    {
        _userService = userService;
    }

    public async Task GetProfileDataAsync(ProfileDataRequestContext context)
    {
        try
        {
            switch (context.Client.ClientId)
            {
                //setup profile data for each different client
                case "CLIENT1":
                {
                    //sub is your userId.
                    var userId = context.Subject.Claims.FirstOrDefault(x => x.Type == "sub");

                    if (!string.IsNullOrEmpty(userId?.Value) && long.Parse(userId.Value) > 0)
                    {
                        //get the actual user object from the database
                        var user = await _userService.GetUserAsync(long.Parse(userId.Value));

                        // issue the claims for the user
                        if (user != null)
                        {
                            var claims = GetCLIENT1Claims(user);

                            //add the claims
                            context.IssuedClaims = claims.Where(x => context.RequestedClaimTypes.Contains(x.Type)).ToList();
                        }
                    }
                }
                break;
                case "CLIENT2":
                {
                    //...
                }
            }
        }
        catch (Exception ex) 
        {
            //log your exceptions
        }
    }

    // Gets all significant user claims that should be included
    private static Claim[] GetCLIENT1Claims(User user)
    {
        var claims = new List<Claim>
        {
            new Claim("user_id", user.UserId.ToString() ?? ""),
            new Claim(JwtClaimTypes.Name, user.Name),
            new Claim(JwtClaimTypes.Email, user.Email ?? ""),
            new Claim("some_other_claim", user.Some_Other_Info ?? "")
        };

        //----- THIS IS WHERE ROLES ARE ADDED ------
        //user roles which are just string[] = { "CLIENT1-Admin", "CLIENT1-User", .. }
        foreach (string role in user.Roles)
            claims.Add(new Claim(JwtClaimTypes.Role, role));

        return claims.ToArray();
    }
}

然后将[Authorize] 属性添加到您的控制器以获得您的特定权限。这仅允许特定角色访问它们，因此设置您自己的权限。

[Authorize(Roles = "CLIENT1-Admin, CLIENT2-Admin, ...")]
public class ValuesController : Controller
{
    //...
}

上述这些声明也可以通过身份验证传递，例如，如果您使用带有自定义 ResourceOwnerPasswordValidator 的 ResourceOwner 设置。您可以像这样在 Validation 方法中以相同的方式传递声明。

context.Result = new GrantValidationResult(
    subject: user.UserId.ToString(),
    authenticationMethod: "custom",
    claims: GetClaims(user));

所以就像最小特权说的那样，你不想使用 IdentityServer 来设置权限并将其作为声明传递（比如谁可以编辑什么记录），因为它们太具体并且使令牌混乱，但是设置角色 -

授予他们访问 api 不同部分的权限。

这对于用户角色来说非常好。

希望这会有所帮助。