Asp.Net Core 中IdentityServer4 實戰之 Claim詳解

来源:https://www.cnblogs.com/jlion/archive/2020/03/23/12543486.html
-Advertisement-
Play Games

`ids4`授權服務中構建用戶身份信息通過身份容器載體`ClaimsPrincipal`載入（具體載入到哪裡？是怎麼攜帶到`Api資源`網關中的？下篇文章再來分享具體的原理和流程）；再經過受保護的`Api資源`網關中通過`ClaimsPrincipal`身份容器載體獲得當前用戶的相關信息後就可以做一... ...


一、前言

由於疫情原因，讓我開始了以博客的方式來學習和分享技術（持續分享的過程也是自己學習成長的過程），同時也讓更多的初學者學習到相關知識，如果我的文章中有分析不到位的地方，還請大家多多指教；以後我會持續更新我的文章，望大家多多支持和關註。
上幾篇文章主要分享了IdentityServer4在Asp.Net Core 3.x 中的應用，在上面的幾篇分享中有一部分博友問了我這麼一個問題"他通過IdentityServer4 來搭建授權中心網關服務，怎麼才能在訪問受保護的Api資源中獲取到用戶的相關的身份信息呢？"。
那這篇文章主要來分享認證過程中的一個重要組成部分Claim，在開始之前強烈建議還沒看過我寫的 IdentityServer4 系列文章的同學先看一下，下麵幾篇文章中以架構思維帶大家進入IdentityServer4 的世界

二、Claim 是什麼

Claim

Claim 我的理解是一個聲明，存儲著一個鍵值對的關係，就相當於身份證中的 姓名：特朗普 , 性別：男等等身份證的系列元素，每一個項都是一個鍵值，我們看看Claim主要代碼

public class Claim
{
    public string ClaimType { get; set; }

    public string ClaimValue { get; set; }
}

代碼中主要核心兩個屬性 ClaimType 和ClaimValue；ClaimType 就是Key，ClaimValue就代表一個Value。這樣的話，剛好可以存儲一個鍵值對。這時候姓名：特朗普是不是就可以存進去了。
同時微軟也提供了預設的ClaimType，部分預設的如下圖:

Claim 差不多已經介紹完畢，相對比較簡單清晰，Claim可以說是身份的最小單元的聲明(身份單元)。

ClaimsIdentity

我們先來看看ClaimsIdentity的部分代碼，代碼如下：

public class ClaimsIdentity:IIdentity
{
    public ClaimsIdentity(IEnumerable<Claim> claims){}
    
    //名字這麼重要，當然不能讓別人隨便改啊，所以我不許 set，除了我兒子跟我姓，所以是 virtual 的
    public virtual string Name { get; }
    public string Label { get; set; }
    
    //身份單元集合
    public virtual IEnumerable<Claim> Claims { get; }
    
    //這是我的證件類型，也很重要，同樣不許 set
    public virtual string AuthenticationType { get; }
    
    public virtual void AddClaim(Claim claim);
    
    public virtual void RemoveClaim(Claim claim);
    
    public virtual void FindClaim(Claim claim);
}

從代碼中可以看到有一個Claims 屬性，是一個集合,看到這裡是不是可以把我們的身份證給聯想進去呢？我們每個人都有一個“身份證”（ClaimIdentity）,身份證中包含了多個“身份單元”（Claim）等信息。
從代碼中還有一個特別重要的屬性AuthenticationType 翻譯成認證類型，這裡也就相當於證件類型，比如身份證，它的證件類型就是"身份證"，護照證機的證機類型就是"護照"。
同時ClaimsIdentity繼承了IIdentity抽象介面，我們再來看看這個抽象介面的代碼：

// 定義證件對象的基本功能。
public interface IIdentity
{
    //證件名稱
    string Name { get; }
    
    // 用於標識證件的載體類型。
    string AuthenticationType { get; }
    
    //是否是合法的證件。
    bool IsAuthenticated { get; }
}

到這裡ClaimsIdentity介紹的差不多了，ClaimsIdentity就相當於是身份證、或者護照之類的東西，一個能夠證明身份的證件。

ClaimsPrincipal

一個人有了身份，就會有多重身份，比如你即是司機、校長、公司老闆等等，那你就會有駕駛證、教師證、公司的營業執照等證件。那這些證件需要一個載體去容納，那ClaimsPrincipal這個就相當於是這些證件的載體，我們來看看它的部分核心代碼：

    public class ClaimsPrincipal : IPrincipal
    {
       
        public ClaimsPrincipal();
       
        public ClaimsPrincipal(IEnumerable<ClaimsIdentity> identities);
        
        public ClaimsPrincipal(IIdentity identity);
        
        public ClaimsPrincipal(IPrincipal principal);
      
        public virtual IIdentity Identity { get; }
       
        public virtual IEnumerable<ClaimsIdentity> Identities { get; }
        
        //把證件添加到載體中
        public virtual void AddIdentities(IEnumerable<ClaimsIdentity> identities);
        //把證件添加到載體中
        public virtual void AddIdentity(ClaimsIdentity identity);
        
        //以下都是從載體中獲取證件等操作
        public virtual IEnumerable<Claim> FindAll(Predicate<Claim> match);
      
        public virtual IEnumerable<Claim> FindAll(string type);
        
        public virtual Claim FindFirst(string type);
       
        public virtual Claim FindFirst(Predicate<Claim> match);
        
        public virtual bool HasClaim(Predicate<Claim> match);

        //是否屬於某個角色
        public virtual bool IsInRole(string role);
    }

ClaimsPrincipal 介紹完了，我這裡把ClaimsPrincipal 它叫證件的容器載體
我們已經知道了 “身份單元（Claims）” ， “身份證（ClaimsIdentity）” ， “證件容器載體（ClaimsPrincipal)”這三者的關係。
我們簡單的來看下身份認證攜帶信息的簡化的流程圖：

好了，這裡Claim相關概念理清楚了，這裡也需要感謝下 微軟MVP大佬@Savorboard 的文章https://www.cnblogs.com/savorboard/p/aspnetcore-identity.html 讓我理清楚了這些關係！

三、實戰

我這裡繼續我上幾篇文章的代碼基礎上編寫，需要代碼的可以訪問 https://github.com/a312586670/IdentityServerDemo 代碼會跟著博客同步更新。
上幾篇文章中解決方案中已經創建瞭如下三個項目：

  • Jlion.NetCore.Identity :Identity公共基礎類庫
  • Jlion.NetCore.Identity.Service : Ids4授權服務，也是上幾篇文章中說的授權中心服務簡單版本
  • Jlion.NetCore.Identity.UserApiService :用戶業務網關（受保護的資源）

授權中心(Ids4授權服務)

Jlion.NetCore.Identity.Service

我們先在授權中心（ids4）服務中驗證用戶的代碼中添加用戶的相關Claims,核心代碼如下：
不熟悉的請先移步
Asp.Net Core 中IdentityServer4 授權中心之應用實戰 這篇文章

public class ResourceOwnerPasswordValidator : IResourceOwnerPasswordValidator
 {
        public async Task ValidateAsync(ResourceOwnerPasswordValidationContext context)
        {
            try
            {
                var userName = context.UserName;
                var password = context.Password;

                //驗證用戶,這麼可以到資料庫裡面驗證用戶名和密碼是否正確
                var claimList = await ValidateUserAsync(userName, password);

                // 驗證賬號
                context.Result = new GrantValidationResult
                (
                    subject: userName,
                    authenticationMethod: "custom",
                    claims: claimList.ToArray()
                );
            }
            catch (Exception ex)
            {
                //驗證異常結果
                context.Result = new GrantValidationResult()
                {
                    IsError = true,
                    Error = ex.Message
                };
            }
        }

        #region Private Method
        /// <summary>
        /// 驗證用戶
        /// </summary>
        /// <param name="loginName"></param>
        /// <param name="password"></param>
        /// <returns></returns>
        private async Task<List<Claim>> ValidateUserAsync(string loginName, string password)
        {
            //TODO 這裡可以通過用戶名和密碼到資料庫中去驗證是否存在，
            // 以及角色相關信息，我這裡還是使用記憶體中已經存在的用戶和密碼
            var user = OAuthMemoryData.GetTestUsers();

            if (user == null)
                throw new Exception("登錄失敗，用戶名和密碼不正確");
            //我這裡為了測試，簡單的硬編碼，生產環境可以通過資料庫中讀取到相關信息構造`Claim`(**身份單元**)
            return new List<Claim>()
            {
                new Claim(ClaimTypes.Name, $"{loginName}"),
                new Claim(EnumUserClaim.DisplayName.ToString(),"測試用戶"),
                new Claim(EnumUserClaim.UserId.ToString(),"10001"),
                new Claim(EnumUserClaim.MerchantId.ToString(),"000100001"),
            };
        }
        #endregion
    }

現在，多個Claim已經構建完成，多個Claim構建出了一個用戶身份，它們都屬於即將登錄的用戶所擁有的身份單元，接下來我們還需要實現IProfileService抽象介面，
代碼如下：

public class UserProfileService : IProfileService
{
        /// <summary>
        /// 
        /// </summary>
        /// <param name="context"></param>
        /// <returns></returns>
        public async Task GetProfileDataAsync(ProfileDataRequestContext context)
        {
            try
            {
                
                var claims = context.Subject.Claims.ToList(); 
                // 把認證通過的用戶身份
                context.IssuedClaims = claims.ToList();
            }
            catch { }
        }

        /// <summary>
        /// 
        /// </summary>
        /// <param name="context"></param>
        /// <returns></returns>
        public async Task IsActiveAsync(IsActiveContext context)
        {
            context.IsActive = true;
        }
    }

GetProfileDataAsync主要為用戶載入Claims,實現該代碼並且通過AddProfileService<T>()方法添加到DI中，才能在API資源中獲取到用戶的身份信息，代碼如下：

  public void ConfigureServices(IServiceCollection services)
  {
      services.AddControllers();

      
      #region 資料庫存儲方式
      services.AddIdentityServer()
          .AddDeveloperSigningCredential()
          .AddInMemoryApiResources(OAuthMemoryData.GetApiResources())
          //.AddInMemoryClients(OAuthMemoryData.GetClients())
          .AddClientStore<ClientStore>()
          .AddResourceOwnerValidator<ResourceOwnerPasswordValidator>()
          .AddExtensionGrantValidator<WeiXinOpenGrantValidator>()//添加微信端自定義方式的驗證(上篇自定義授權方式的代碼)
          .AddProfileService<UserProfileService>();

      #endregion

  }

Api資源（受保護的資源）

Jlion.NetCore.Identity.UserApiService

我們先來創建UserIdentityExtension擴展類，代碼如下：

 public static class UserIdentityExtension
 {
        /// <summary>
        /// 獲得用戶的Name
        /// </summary>
        /// <param name="this"></param>
        /// <returns></returns>
        public static string Name(this ClaimsPrincipal @this)
        {
            return @this?.Identity?.Name;
        }

        /// <summary>
        /// 獲得DisplayName
        /// </summary>
        /// <param name="this"></param>
        /// <returns></returns>
        public static string DisplayName(this ClaimsPrincipal @this)
        {
            var value = @this?.Claims?.FirstOrDefault(oo => oo.Type == EnumUserClaim.DisplayName.ToString())?.Value;
            return value;
        }

        public static string UserId(this ClaimsPrincipal @this)
        {
            return @this?.Claims?.FirstOrDefault(oo => oo.Type == EnumUserClaim.UserId.ToString())?.Value;
        }

        public static string MerchantId(this ClaimsPrincipal @this)
        {
            return @this?.Claims?.FirstOrDefault(oo => oo.Type == EnumUserClaim.MerchantId.ToString())?.Value;
        }
 }

再在原來的代碼基礎上新增UserController控制器，代碼如下：

[Authorize]
[ApiController]
[Route("[controller]")]
public class UserController : ControllerBase
{

    private readonly ILogger<UserController> _logger;

    public UserController(ILogger<UserController> logger)
    {
        _logger = logger;
    }
 }

UserController控制器已經創建完了，繼承了ControllerBase基類，我們來看看ControllerBase包含了哪些信息，核心的代碼如下：

/// <summary>
/// A base class for an MVC controller without view support.
/// </summary>
[Controller]
public abstract class ControllerBase
{
     //通過請求上下文中獲得User（證件載體容器）
     public ClaimsPrincipal User => HttpContext?.User;

    //其他核心代碼沒有貼出來，具體的可以看官方源代碼
}

看了源代碼，我們是不是可以考慮使用User來獲取身份證件中的某些身份元件呢？，在UserController添加獲取用戶信息的介面，完整代碼如下：

[Authorize]
[ApiController]
[Route("[controller]")]
public class UserController : ControllerBase
{

  private readonly ILogger<UserController> _logger;

  public UserController(ILogger<UserController> logger)
  {
      _logger = logger;
  }

  
  [HttpGet]
  public async Task<object> Get()
  {
     //通過ClaimsPrincipal（證件容器載體）獲得某些證件的身份元件
     var userId = User.UserId();
     return new
     {
          name = User.Name(),
          userId = userId,
          displayName = User.DisplayName(),
          merchantId = User.MerchantId(),
     };
  }
}

好了，代碼已經構建完成！！！
現在我把兩個服務通過命令行啟動起來.
Jlion.NetCore.Identity.Service啟動如下圖：

我這裡還是以"http://localhost:5000" 地址啟動
Jlion.NetCore.Identity.UserApiService 啟動如下圖：

這裡以"http://localhost:5001"地址啟動

現在我們通過postman 訪問ids4伺服器獲得accesstoken 如下圖：

獲取access_token 成功,我再攜帶access_token訪問 用戶業務網關，如下圖：

成功獲取到用戶身份信息 Claims相關信息。

結論：ids4授權服務中構建用戶身份信息(Claim)通過身份容器載體ClaimsPrincipal載入（具體載入到哪裡？是怎麼攜帶到Api資源網關中的？下篇文章再來分享具體的原理和流程）；再經過受保護的Api資源網關中通過ClaimsPrincipal身份容器載體獲得當前用戶的相關信息後就可以做一些基於角色授權及業務相關的事情。

博客系列文章源代碼地址：https://github.com/a312586670/IdentityServerDemo
參考文章：
https://www.cnblogs.com/savorboard/p/aspnetcore-identity.html


您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • 基於.NetCore3.1搭建項目系列 —— 使用Swagger做Api文檔 (下篇)
    前言 回顧上一篇文章《使用Swagger做Api文檔 》，文中介紹了在.net core 3.1中，利用Swagger輕量級框架，如何引入程式包，配置服務，註冊中間件，一步一步的實現，最終實現生產自動生產API介面說明文檔。文中結尾也留下了一個讓大家思考的問題。在這裡，我們重新回顧一下這幾個問題 1 ...
  • asp.net core 3.x 微信小程式登錄庫（也可用於abp）
    視頻教程（使用+實現原理）：https://share.weiyun.com/57HKopT 建議直接看視頻 源碼地址：https://github.com/bxjg1987/abpGeneralModules 庫版本.net core 3.1 我的abp版本：abp5.3 .net core 3. ...
  • C# 基礎知識系列- 1 數據類型
    常見數據類型 C 的類型一般分為 值類型 、 引用類型 兩大類型。 值類型的實例存放在棧中，引用類型會在棧中放置一個指針指向堆中的某一塊內容。 C 為我們內置了幾個數據類型供我們使用： |關鍵詞簡寫|對應的類全稱(點擊可以查看對應的API)|值範圍|說明| |: :|: |: |: | | bool ...
  • 一、C#入門—基礎認識
    一、C#基本認識 1.1.區分.net與C# .net:一般指.Net Framework框架，是Microsoft開發的一個平臺。 代碼庫 定義了基本的類型，也稱為通用類型系統（Common Type System,CTS） 包含.net公共語言運行庫（Common Language Runtim ...
  • [WPF 學習] 9.自定義一個Window的樣子
    基本思路是把原來的WindowStyle設置為None，然後自己弄一個標題欄 一、xmal 二、後臺代碼(幾個事件) ...
  • C#隊列學習筆記：MSMQ入門一
    一、引言 MSMQ全稱MicroSoft Message Queue，微軟消息隊列，是在多個不同的應用之間實現相互通信的一種非同步傳輸模式，相互通信的應用可以分佈於同一臺機器上，也可以分佈於相連的網路空間中的任一位置。它的實現原理是：消息的發送者把自己想要發送的信息放入一個容器中（我們稱之為Messa ...
  • linq 多表分組左連接查詢查詢統計
    return (from merchantsInfo in base.GetIQueryable(x => x.IsLogicDelete == false && x.FID != fid) join userAccount in UserAccountDal.GetIQueryable(x => ...
  • 擴展gRPC支持consul服務發現和Polly策略
    gRPC由於需要用工具生成代碼實現,可開發性不是很高,在擴展這方面不是很友好 最近研究了下,進行了擴展,不需要額外的工具生成,直接使用預設Grpc.Tools生成的代理類即可 相關源碼在文章底部 客戶端目標: 能配置consul地址和服務名稱,在調用client時能正確請求到真實的服務地址 在調用方 ...
一周排行
    -Advertisement-
    Play Games
  • 移動開發（一）：使用.NET MAUI開發第一個安卓APP
    移動開發（一）：使用.NET MAUI開發第一個安卓APP 對於工作多年的C#程式員來說，近來想嘗試開發一款安卓APP，考慮了很久最終選擇使用.NET MAUI這個微軟官方的框架來嘗試體驗開發安卓APP，畢竟是使用Visual Studio開發工具，使用起來也比較的順手，結合微軟官方的教程進行了安卓 ...
  • wpf ToggleButton選中效果和一個登錄界面
    前言 QuestPDF 是一個開源 .NET 庫，用於生成 PDF 文檔。使用了C# Fluent API方式可簡化開發、減少錯誤並提高工作效率。利用它可以輕鬆生成 PDF 報告、發票、導出文件等。 項目介紹 QuestPDF 是一個革命性的開源 .NET 庫，它徹底改變了我們生成 PDF 文檔的方 ...
  • 彈幕樹洞項目功能新增篇
    項目地址 項目後端地址： https://github.com/ZyPLJ/ZYTteeHole 項目前端頁面地址： ZyPLJ/TreeHoleVue (github.com) https://github.com/ZyPLJ/TreeHoleVue 目前項目測試訪問地址： http://tree ...
  • 第27篇 sqlserver2022詳細安裝步驟
    話不多說，直接開乾 一.下載 1.官方鏈接下載： https://www.microsoft.com/zh-cn/sql-server/sql-server-downloads 2.在下載目錄中找到下麵這個小的安裝包 SQL2022-SSEI-Dev.exe，運行開始下載SQL server； 二. ...
  • .NET 開源高性能 MQTT 類庫
    前言 隨著物聯網（IoT）技術的迅猛發展，MQTT（消息隊列遙測傳輸）協議憑藉其輕量級和高效性，已成為眾多物聯網應用的首選通信標準。 MQTTnet 作為一個高性能的 .NET 開源庫，為 .NET 平臺上的 MQTT 客戶端與伺服器開發提供了強大的支持。 本文將全面介紹 MQTTnet 的核心功能 ...
  • Serilog文檔翻譯系列（六） - 可用的接收器、增強器、格式化輸出
    Serilog支持多種接收器用於日誌存儲，增強器用於添加屬性，LogContext管理動態屬性，支持多種輸出格式包括純文本、JSON及ExpressionTemplate。還提供了自定義格式化選項，適用於不同需求。 ...
  • 警惕 Visual Studio 屬性求值副作用導致邏輯不符合預期
    目錄簡介獲取 HTML 文檔解析 HTML 文檔測試參考文章 簡介 動態內容網站使用 JavaScript 腳本動態檢索和渲染數據，爬取信息時需要模擬瀏覽器行為，否則獲取到的源碼基本是空的。 本文使用的爬取步驟如下： 使用 Selenium 獲取渲染後的 HTML 文檔 使用 HtmlAgility ...
  • [使用目前最新版]HybridCLR6.9.0+YooAsset2.2.4實現純C# Unity熱更新方案 (一)
    1.前言 什麼是熱更新 游戲或者軟體更新時，無需重新下載客戶端進行安裝，而是在應用程式啟動的情況下，在內部進行資源或者代碼更新 Unity目前常用熱更新解決方案 HybridCLR，Xlua，ILRuntime等 Unity目前常用資源管理解決方案 AssetBundles，Addressable， ...
  • 在 ASP.NET Core Web API 中使用操作篩選器統一處理通用操作
    本文章主要是在C# ASP.NET Core Web API框架實現向手機發送驗證碼簡訊功能。這裡我選擇是一個互億無線簡訊驗證碼平臺，其實像阿裡雲，騰訊雲上面也可以。 首先我們先去 互億無線 https://www.ihuyi.com/api/sms.html 去註冊一個賬號 註冊完成賬號後，它會送 ...
  • 第28篇 如何.net中實現高效可靠數據同步api
    通過以下方式可以高效，並保證數據同步的可靠性 1.API設計 使用RESTful設計，確保API端點明確，並使用適當的HTTP方法（如POST用於創建，PUT用於更新）。 設計清晰的請求和響應模型，以確保客戶端能夠理解預期格式。 2.數據驗證 在伺服器端進行嚴格的數據驗證，確保接收到的數據符合預期格 ...
所有分類