IdentityServer4 中文文檔 -13- （快速入門）切換到混合流並添加 API 訪問

原文：http://docs.identityserver.io/en/release/quickstarts/5_hybrid_and_api_access.html

上一篇：IdentityServer4 中文文檔 -12- （快速入門）添加外部認證支持
下一篇：IdentityServer4 中文文檔 -14- （快速入門）使用 ASP.NET Core Identity

在之前的快速入門中我們探討了 API 訪問和用戶認證。現在我們想要把這兩部分結合起來。

OpenID Connect 和 OAuth 2.0 結合的美妙之處在於，你既可以使用單一的協議，也可以向令牌服務做一次往返交互。

之前我們使用的是 OpenID Connect 隱式流。在隱式流中所有令牌都通過瀏覽器來傳輸，這對於 身份令牌 來說是完全沒有問題的。現在我們還想要請求一個 訪問令牌。

與身份令牌相比，訪問令牌更加敏感，如果沒有必要，我們是不會想將他們暴露給“外部世界”的。OpenID Connect 包含了一個叫做 “混合流（Hybrid flowe）” 的流，它為我們提供了兩方面優點 —— 身份令牌通過瀏覽器頻道來傳輸，這樣客戶端就能夠在做任何工作前驗證它；如果驗證成功了，客戶端就會打開一個後端通道來連接令牌服務以檢索訪問令牌。

修改客戶端配置

需要修改的東西不是很多。首先我們想要允許客戶端使用混合流（Hybrid Flow），另外我們還想要客戶端允許服務於服務之間的 API 調用，並且這種調用不會與用戶上下文混雜在一起（這與我們的客戶端憑證快速入門非常相似）。這是使用 AllowedGrantTypes 屬性來表示的。

然後我們要添加一個客戶端密碼，這將被用於在後端通道上檢索訪問令牌。

最後我們還要允許客戶端訪問 offline_access scope - 這允許為長期使用的 API 訪問請求刷新令牌：

new Client
{
    ClientId = "mvc",
    ClientName = "MVC 客戶端",
    AllowedGrantTypes = GrantTypes.HybridAndClientCredentials,

    ClientSecrets =
    {
        new Secret("secret".Sha256())
    },

    RedirectUris           = { "http://localhost:5002/signin-oidc" },
    PostLogoutRedirectUris = { "http://localhost:5002/signout-callback-oidc" },

    AllowedScopes =
    {
        IdentityServerConstants.StandardScopes.OpenId,
        IdentityServerConstants.StandardScopes.Profile,
        "api1"
    },
    AllowOfflineAccess = true
};

修改 MVC 客戶端

對 MVC 客戶端的修改同樣也很少 - ASP.NET Core OpenID Connect 中間件是內置支持混合流的，所以我們只需要更改一些配置值。

我們配置 ClientSecret 以讓它跟 IdentityServer 上的信息相匹配。添加 offline_access scopes，然後設置 ResponseType 為 code id_token（基本的意思就是“使用混合流”）

app.UseOpenIdConnectAuthentication(new OpenIdConnectOptions
{
    AuthenticationScheme = "oidc",
    SignInScheme = "Cookies",

    Authority = "http://localhost:5000",
    RequireHttpsMetadata = false,

    ClientId = "mvc",
    ClientSecret = "secret",

    ResponseType = "code id_token",
    Scope = { "api1", "offline_access" },

    GetClaimsFromUserInfoEndpoint = true,
    SaveTokens = true
});

當你運行 MVC 客戶端的時候，不會有太大的區別。除此之外，授權確認頁現在還會向你請求訪問 額外的 API 和 離線訪問（offline access） scope。

使用訪問令牌

OpenID Connect 中間件會自動為你保存令牌（身份令牌，訪問令牌和現在我們例子中的刷新令牌）。這就是 SaveTokens 設置的效果。

技術上，令牌是存儲在 cookie 的屬性片段之內的，訪問它們最簡單的方式是使用 Microsoft.AspNetCore.Authentication 名稱空間下的擴展方法。

比如在你的身份信息視圖上：

<dt>access token</dt>
<dd>@await ViewContext.HttpContext.Authentication.GetTokenAsync("access_token")</dd>

<dt>refresh token</dt>
<dd>@await ViewContext.HttpContext.Authentication.GetTokenAsync("refresh_token")</dd>

為了使用訪問令牌訪問 API，你所需要做的只是檢索令牌，然後將其設置到你的 HttpClient 中：

public async Task<IActionResult> CallApiUsingUserAccessToken()
{
    var accessToken = await HttpContext.Authentication.GetTokenAsync("access_token");

    var client = new HttpClient();
    client.SetBearerToken(accessToken);
    var content = await client.GetStringAsync("http://localhost:5001/identity");

    ViewBag.Json = JArray.Parse(content).ToString();
    return View("json");
}

上一篇：IdentityServer4 中文文檔 -12- （快速入門）添加外部認證支持
下一篇：IdentityServer4 中文文檔 -14- （快速入門）使用 ASP.NET Core Identity