ThinkTecture IdentityServer3 与 Microsoft.Owin.Security.OAuth2答案

【问题标题】：ThinkTecture IdentityServer3 vs Microsoft.Owin.Security.OAuth2ThinkTecture IdentityServer3 与 Microsoft.Owin.Security.OAuth2
【发布时间】：2016-11-21 22:56:39
【问题描述】：

我们计划在我们公司中构建一个 OAuth2 授权服务器，并且我们正在尝试找出实施它的正确解决方案。目前我们正在考虑使用 ThinkTecture IdentityServer3 或普通的 Microsoft.Owin.Security.OAuth 包。我们在选择时要考虑的一件事是谁已经在使用它。不幸的是，我在 ThinkTecture 网站上找不到任何有关 IdentityServer3 客户的信息，在其他任何地方都没有。有谁知道，如果有大玩家，谁依赖这个库/框架？

如果有人对上述两种解决方案中的哪一种更好有任何其他指导，那对我们也很有价值。

干杯

【问题讨论】：

标签： c# .net oauth-2.0 identityserver3 owin.security

【解决方案1】：

Microsoft.Owin.Security.OAuth 库已被 Microsoft 弃用，主要是因为要在除了他们的一个示例之外的任何场景中使用它，您必须在其之上构建大量额外的安全基础架构。这样做并非易事，并且需要您在开发 OIDC/OAuth2 提供程序时非常了解威胁和缓解措施。此类安全工作已经在 IdentityServer 中完成。因此，当您的应用程序和 API 需要自己的可定制 OIDC/OAuth2 令牌服务时，Microsoft 建议您选择 IdentityServer。

【讨论】：

感谢布洛克的回复。我们知道，如果我们使用 Microsoft 库，我们将不得不在其上构建更多内容，而 IdentityServer 可能会解决很多安全问题。我们只是想知道，这些问题中有多少实际上是我们的场景中的一个案例。您能否提一下，您指的是哪种额外的安全基础设施？在为我们选择最佳方法时，我们还考虑了解决方案的可配置性，以及谁已经在使用它（它让我们更有信心，它值得使用）。后者是我们不知道的事情。