如果我们不需要SSO或OAuth2，我们的身份服务器是必要的吗？

Question

null

对于#1，没有人应该每次入住都登录，因为SPA1、SPA2和MVCApp1基本上都有不同的最终用户。我们不需要SSO。对于#2，不相关，因为我们永远不会允许这样。

这意味着我们有一个IdentityServer4项目，感觉有点矫枉过正，很难调试。比如用户将auth服务器而不是应用程序作为书签，重定向随机失败，等等。

我的问题是，我可以在API中切换到用户身份验证，然后杀死这个身份服务器吗？我们可以很容易地在API中添加Authenticateendpoint。有什么不安全的吗？

类似于这样：

    [AllowAnonymous]
    [HttpPost("authenticate")]
    public IActionResult Authenticate([FromBody]UserDto userDto)
    {
        var user = _userService.Authenticate(userDto.Username, userDto.Password);

        if (user == null)
            return Unauthorized();

        var tokenHandler = new JwtSecurityTokenHandler();
        var key = Encoding.ASCII.GetBytes(_appSettings.Secret);
        var tokenDescriptor = new SecurityTokenDescriptor
        {
            Subject = new ClaimsIdentity(new Claim[] 
            {
                new Claim(ClaimTypes.Name, user.Id.ToString())
            }),
            Expires = DateTime.UtcNow.AddDays(7),
            SigningCredentials = new SigningCredentials(new SymmetricSecurityKey(key), SecurityAlgorithms.HmacSha256Signature)
        };
        var token = tokenHandler.CreateToken(tokenDescriptor);
        var tokenString = tokenHandler.WriteToken(token);

        // return basic user info (without password) and token to store client side
        return Ok(new {
            Id = user.Id,
            Username = user.Username,
            FirstName = user.FirstName,
            LastName = user.LastName,
            Token = tokenString
        });
    }

Answer 1

我不能回答你的问题是否有必要，因为这可能是基于意见的。但我有些话要说。

IdentityServer是OpenID Connect在OAuth2之上的一个实现。如果您不想使用OpenID Connect和OAuth2，那么IdentityServer可能不是合适的工具。

但是，IdentityServer不仅仅实现规范。这也是关于责任的分离。

我不能告诉你该怎么做，我相信一切皆有可能。但是当你看一看设计原则时，我更喜欢分离关注点。

关于您的代码，七天的访问窗口是相当大的。尤其是在无法撤消令牌的情况下。

关于用户链接错误的页面，你不能阻止一切。