WSO2 身份服务器 OpenId Connect Owin答案

【问题标题】：WSO2 Identity Server OpenId Connect OwinWSO2 身份服务器 OpenId Connect Owin
【发布时间】：2016-12-18 05:30:16
【问题描述】：

我正在尝试设置 WSO2 身份服务器以使用 OpenId 连接。我目前应用了Here: Setup WSO2 所示的以下设置。

归结为我使用了居民身份提供者，并且我为我的应用程序“CoolApp”设置了一个服务提供者。

我配置了“OAuth/OpenID 连接配置”并设置了回调 URL。

是否有一个简单的示例如何在 javascript 中使用它？

我玩过 identityserver3，他们有一个客户端 oidc-client.js，它可以很好地与 identityserver3 结合使用。但是我似乎无法让它与 WSO2 身份服务器一起使用。

我以错误的方式解决这个问题，我真正想要的是使用 owin 中间件来保护我的网站，就像他们尝试过的 here 和 here 一样。

所以现在我有以下内容：

app.SetDefaultSignInAsAuthenticationType("ClientCookie");

        app.UseCookieAuthentication(new CookieAuthenticationOptions
        {
            AuthenticationMode = AuthenticationMode.Active,
            AuthenticationType = "ClientCookie",
            CookieName = CookieAuthenticationDefaults.CookiePrefix + "ClientCookie",
            ExpireTimeSpan = TimeSpan.FromMinutes(5)
        });

        // ***************************************************************************
        // Approach 1 : ResponseType = "id_token token"
        // ***************************************************************************
        app.UseOpenIdConnectAuthentication(new OpenIdConnectAuthenticationOptions
        {
            AuthenticationMode = AuthenticationMode.Active,
            AuthenticationType = OpenIdConnectAuthenticationDefaults.AuthenticationType,
            SignInAsAuthenticationType = app.GetDefaultSignInAsAuthenticationType(),
            Authority = "   https://localhost:9443/oauth2/",
            ClientId = "fgx4M5e27NJqgRIs8nu5aL7Jw3oa",
            ClientSecret = "dwGdRDCFY7Soa7CB5K5smkiuMmYa",
            RedirectUri = "http://localhost:57815/Account/ExternalLoginCallback/",
            ResponseType = "id_token token",
            Scope = "openid",

            Configuration = new OpenIdConnectConfiguration
            {
                AuthorizationEndpoint = "https://localhost:9443/oauth2/authorize",
                TokenEndpoint = "https://localhost:9443/oauth2/token",
                UserInfoEndpoint = "https://localhost:9443/oauth2/userinfo",
            },

            Notifications = new OpenIdConnectAuthenticationNotifications
            {
                SecurityTokenValidated = n =>
                {
                    var token = n.ProtocolMessage.AccessToken;

                    // persist access token in cookie
                    if (!string.IsNullOrEmpty(token))
                    {
                        n.AuthenticationTicket.Identity.AddClaim(
                            new Claim("access_token", token));
                    }
                    return Task.FromResult(0);
                },

                AuthenticationFailed = notification =>
                {

                    if (string.Equals(notification.ProtocolMessage.Error, "access_denied", StringComparison.Ordinal))
                    {
                        notification.HandleResponse();

                        notification.Response.Redirect("/");
                    }

                    return Task.FromResult<object>(null);
                }
            }
        });

我在 SecurityTokenValidated 和 AuthenticationFailed 中设置了一个断点。转到该页面，我按预期重定向到 WSO2 身份服务器。当我登录并返回页面时，我的两个断点都没有命中，我也没有登录。

我正在使用 WSO2 身份服务器 5.1.0。

@farasath，您能否帮帮我和其他人看起来我们都遇到了同样的问题，但还没有找到解决方案。

在进一步调查期间，我发现使用带有 response_type = "code" 的代码流也不起作用，因为 OIDC 中间件不支持它（请参阅 here 和 here）。

通过@pinpoint 发现 ASP.net 核心确实支持这一点的建议。但这并不是一个真正的选择。

@Hos 回复here:

使用 WSO2 Identity Server 5.0.0 OpenID Connect“id_token”响应类型未实现。

我没有收到他在帖子中提到的错误响应，但是使用这些版本对我来说结果保持不变，断点永远不会被命中。所以现在我想知道这是否真的可以在 5.1.0 或 5.2.0-Beta 中工作，或者这仍然是 WIP。

@farasath，感谢您的回复，这是日志

[2016-08-16 08:11:39,998] DEBUG {org.wso2.carbon.identity.oauth2.OAuth2Service} -  Validate Client information request for client_id : fgx4M5e27NJqgRIs8nu5aL7Jw3oa and callback_uri http://localhost:57815/
[2016-08-16 08:11:40,074] DEBUG {org.wso2.carbon.identity.oauth2.OAuth2Service} -  Registered App found for the given Client Id : fgx4M5e27NJqgRIs8nu5aL7Jw3oa ,App Name : CoolApp, Callback URL : http://localhost:57815/
[2016-08-16 08:11:50,948] DEBUG {org.wso2.carbon.identity.oauth2.OAuth2Service} -  Authorization Request received for user : raymond@carbon.super, Client ID : fgx4M5e27NJqgRIs8nu5aL7Jw3oa, Authorization Response Type : id_token token, Requested callback URI : http://localhost:57815/, Requested Scope : openid
[2016-08-16 08:11:50,967]  INFO {org.wso2.carbon.identity.oauth.config.OAuthServerConfiguration} -  The default OAuth token issuer will be used. No custom token generator is set.
[2016-08-16 08:11:50,985]  INFO {org.wso2.carbon.identity.oauth2.dao.TokenMgtDAO} -  Thread pool size for session persistent consumer : 100
[2016-08-16 08:11:50,991] DEBUG {org.wso2.carbon.identity.oauth2.dao.TokenPersistenceTask} -  Access Token context persist consumer is started
... This one repeats about 100 times ...
[2016-08-16 08:11:51,031] DEBUG {org.wso2.carbon.identity.oauth2.authz.AuthorizationHandlerManager} -  Successfully created AppInfoCache under OAuthCacheManager
[2016-08-16 08:11:51,206] DEBUG {org.wso2.carbon.identity.oauth2.util.OAuth2Util} -  Added OAuthAuthzReqMessageContext to threadlocal
[2016-08-16 08:11:52,180] DEBUG {org.wso2.carbon.identity.oauth2.authz.handlers.TokenResponseTypeHandler} -  No active access token found in cache for Client ID : fgx4M5e27NJqgRIs8nu5aL7Jw3oa, User ID : raymond@carbon.super and Scope : openid
[2016-08-16 08:11:52,199] DEBUG {org.wso2.carbon.identity.oauth2.authz.handlers.TokenResponseTypeHandler} -  No access token found in database for Client ID : fgx4M5e27NJqgRIs8nu5aL7Jw3oa, User ID : raymond@carbon.super and Scope : openid. Therefore issuing new access token
[2016-08-16 08:11:52,208] DEBUG {org.wso2.carbon.identity.oauth2.dao.TokenPersistenceTask} -  Access Token Data persisting Task is started to run
[2016-08-16 08:11:52,208] DEBUG {org.wso2.carbon.identity.oauth2.authz.handlers.TokenResponseTypeHandler} -  Persisted Access Token for Client ID : fgx4M5e27NJqgRIs8nu5aL7Jw3oa, Authorized User : raymond@carbon.super, Timestamp : 2016-08-16 08:11:52.207, Validity period (s) : 3600, Scope : openid, Callback URL : http://localhost:57815/, Token State : ACTIVE and User Type : APPLICATION_USER
[2016-08-16 08:11:52,233] DEBUG {org.wso2.carbon.identity.oauth2.authz.handlers.TokenResponseTypeHandler} -  Access Token was added to OAuthCache for cache key : fgx4M5e27NJqgRIs8nu5aL7Jw3oa:raymond@carbon.super:openid
[2016-08-16 08:11:52,298] DEBUG {org.wso2.carbon.identity.oauth2.util.OAuth2Util} -  Cleared OAuthAuthzReqMessageContext

我第二次运行它时得到了这个日志：

[2016-08-16 08:30:17,216] DEBUG {org.wso2.carbon.identity.oauth2.OAuth2Service} -  Validate Client information request for client_id : fgx4M5e27NJqgRIs8nu5aL7Jw3oa and callback_uri http://localhost:57815/
[2016-08-16 08:30:17,222] DEBUG {org.wso2.carbon.identity.oauth2.OAuth2Service} -  Registered App found for the given Client Id : fgx4M5e27NJqgRIs8nu5aL7Jw3oa ,App Name : CoolApp, Callback URL : http://localhost:57815/
[2016-08-16 08:30:23,178] DEBUG {org.wso2.carbon.identity.oauth2.OAuth2Service} -  Authorization Request received for user : raymond@carbon.super, Client ID : fgx4M5e27NJqgRIs8nu5aL7Jw3oa, Authorization Response Type : id_token token, Requested callback URI : http://localhost:57815/, Requested Scope : openid
[2016-08-16 08:30:23,189] DEBUG {org.wso2.carbon.identity.oauth2.util.OAuth2Util} -  Added OAuthAuthzReqMessageContext to threadlocal
[2016-08-16 08:30:23,195] DEBUG {org.wso2.carbon.identity.oauth2.authz.handlers.TokenResponseTypeHandler} -  Retrieved active Access Token for Client Id : fgx4M5e27NJqgRIs8nu5aL7Jw3oa, User ID :raymond@carbon.super and Scope : openid from cache
[2016-08-16 08:30:23,203] DEBUG {org.wso2.carbon.identity.oauth2.authz.handlers.TokenResponseTypeHandler} -  Access Token is valid for another 3264638ms
[2016-08-16 08:30:23,218] DEBUG {org.wso2.carbon.identity.oauth2.util.OAuth2Util} -  Cleared OAuthAuthzReqMessageContext

现在我将重定向 uri 更改为： RedirectUri = "http://localhost:57815/Account/ExternalLoginCallback/",

并且该函数中的 logInfo 始终为 null var loginInfo = 等待 AuthenticationManager.GetExternalLoginInfoAsync();

谷歌搜索发现this post有人遇到类似问题。

用Fiddler看回调好像已经设置了cookie

所以现在我离开了以下情况：

SecurityTokenValidated 中的断点从未命中
AuthenticationFailed 中的断点从未命中
var loginInfo = await AuthenticationManager.GetExternalLoginInfoAsync();在我的回调中始终为空

【问题讨论】：

@farasath 我不得不编辑我的问题，而不是像我一样使用答案（审稿人向我指出了这一点）。所以不幸的是，你的 cmets 也迷路了。但就像你要求的那样，我在打开日志的情况下运行，我还对 fiddler 做了一些进一步的调查。

标签： wso2 owin wso2is openid-connect

【解决方案1】：

原因是 OWIN 中间件期望 OAUTH 2.0 表单后响应模式 [1] 中的 OAUTH 响应，这是一个可选规范，只有 Identity Server 5.2.0（带补丁）向上支持。

[1]http://openid.net/specs/oauth-v2-form-post-response-mode-1_0.html

【讨论】：

【解决方案2】：

AFAIK 我们没有可以直接使用的 Javascript 示例。但这根本不应该是一个问题。我只是通过谷歌搜索发现了[1]。您需要做的就是替换 client_id 和回调 URL。由于我们遵循 OAuth/OpenID 连接规范，因此任何 OAuth Javascript 客户端库都应该与 WSO2 身份服务器一起使用。

我们确实有一个 Web 应用示例 [2]，我之前写了一篇博文 [3]，只是为了演示 WSO2 身份服务器的授权代码流。

[1]https://github.com/zalando/oauth2-client-js

[2]https://docs.wso2.com/display/IS510/OAuth+2.0+with+WSO2+Playground

[3]http://blog.farazath.com/2016/05/trying-out-oauth2-authorization-code.html

【讨论】：

我试图改写这个问题，因为我意识到我开始错了。