IdentityServer SSO-受信任的应用程序

Question

我需要SSO（单点登录）来自我的应用程序的用户（使用ASPNET会话状态的身份提供者），并将他们重定向到我的另一个应用程序（服务提供者），该应用程序html" target="_blank">配置为使用IdentityServer4的隐式流。我需要在不要求用户重新登录和不提供用户密码的情况下实现这一点。

我最初的想法是，我可以使用身份提供者的客户端密码将用户重定向到IdentityServer4身份验证endpoint，并将访问令牌作为查询参数，然后使用自定义验证器或扩展授权来颁发身份令牌，以便与服务提供者应用程序一起使用，而无需同时提供用户的密码。

我成功地向身份提供者发出访问令牌，然后将用户重定向到IdentityServer4，但事实证明，发出身份令牌对我来说很困难。我已经把样品和文档都翻了一遍，至少可以说我很困惑。

我正在寻找这个场景的适当方法的方向，也许是C#中的一个全面示例。我逐渐了解到，我可以使用混合流来发布访问令牌和身份令牌。我认为我最大的困难是如何重定向用户，并基于访问令牌向用户颁发身份令牌（如果这是一种可接受的方法）。

简单地说：我想基于对身份提供者的信任（通过客户端机密？），将用户从应用程序A重定向到IdentityServer4，再重定向到应用程序B。

注意：我知道这可以被认为是一个基于意见的问题，但是根据我的研究，我相信有一个最佳实践，这就是我所要求的。

Answer 1

我想我可能会先处理应用程序A的身份验证，然后转到下一个应用程序...

应用程序A--

您可以在returnUrl中包含一些自定义参数，应用程序A可以在从IdentityServer返回时读取这些参数，从而触发重定向到应用程序B。

Answer 2

我设法通过以下流程使其工作：

1. 在应用程序A（身份提供者）中授权用户

共享秘密的配置：

向客户端添加适当的授予类型、机密和新作用域名称。新的作用域将有助于调试日志中的访问令牌问题（尤其是当有多个应用程序访问ID4服务器时）。还要确保将服务提供商的URL添加到客户端重定向URI，否则您将收到“无效重定向”错误。

            AllowedGrantTypes = new List<string> { GrantType.Implicit, GrantType.ClientCredentials },
            ClientSecrets = new List<Secret> {
                new Secret(_clientSecrets.ExternalIdpSecret.Sha256(), clientID)
            },
            AllowedScopes = new List<string>
            {
                "newScopeName"
            },
            RedirectUris = new List<string>
            {
                $"http://localhost:<portnumber>"
            }

接下来，添加自定义中间件。

public class QueryStringOAuthBearerMiddleware
{
    private readonly RequestDelegate next;

    public QueryStringOAuthBearerMiddleware(RequestDelegate next)
    {
        this.next = next;
    }

    public async Task Invoke(HttpContext context)
    {
        this.BeginInvoke(context);
        await this.next.Invoke(context);
        this.EndInvoke(context);
    }

    private void BeginInvoke(HttpContext context)
    {
        if (context.Request.Query.ContainsKey("accesstokenparametername"))
        {
            var accessToken = context.Request.Query.First(p => p.Key == "accesstokenparametername");

            if (!string.IsNullOrEmpty(accessToken.Value))
            {
                context.Request.Headers.Add("Authorization", "Bearer " + accessToken.Value);
            }
        }
    }

    private void EndInvoke(HttpContext context)
    {
    }
}

并将中间件添加到您的配置中。

        app.UseMiddleware<QueryStringOAuthBearerMiddleware>();

创建您的登录方法。

    [HttpGet]
    [Authorize]
    public async Task<IActionResult> Login2(string userName, string returnURL)
    {
        await _httpContextWrapper.SignInAsync(userName);

        return Redirect(returnURL);
    }

客户端应用程序（IDP）配置：

客户端代码应如下所示：

var disco = await DiscoveryClient.GetAsync("http://localhost:<portnumber>");
var tokenClient = new TokenClient(disco.TokenEndpoint, "clientIdentifier", "IUsedAGuidHere");
var tokenResponse = await tokenClient.RequestClientCredentialsAsync("newScopeName");

var redirectURL = string.Format("http://localhost:2228/account/Login2?userName=<UserIDValue>&returnURL={1}&accesstokenparametername={0}",
            tokenResponse.AccessToken,
            Server.UrlEncode(
                string.Format("/connect/authorize/login?client_id={3}&redirect_uri={2}&response_type=id_token%20token&scope=<ImplicitFlowScopes>&state={0}&nonce={1}",
                CryptoRandom.CreateUniqueId(),
                CryptoRandom.CreateUniqueId(),
                Server.UrlEncode("http://localhost:<PortNumber>"),
                "ClientIdentifier")));

Response.Redirect(redirectURL, false);

注意：请理解，您将无法按原样使用此代码并使其正常工作。我对其进行了大量修改，以保护我资源的安全。