我正在尝试创建自定义用户，对其进行身份验证，然后使用身份服务器3将用户声明返回到角度应用程序中。我查看了示例，特别是CustomUserService项目。
编辑我已根据进度更新了问题：
在starup.cs文件中，我有范围，客户端加载
var idServerServiceFactory = new IdentityServerServiceFactory()
.UseInMemoryClients(Clients.Get())
.UseInMemoryScopes(Scopes.Get());
//.UseInMemoryUsers(Users.Get());
然后是UserServices.cs中的覆盖
public override Task AuthenticateLocalAsync(LocalAuthenticationContext context)
{
string hashedPassword = string.Empty;
string salt = string.Empty;
//pull users
using (IdentityModelContext ctx = new IdentityModelContext())
{
IIdSrvUserRepository ur = new IdSrvUserRepository(ctx);
Users = ur.GetAll().ToList();
}
//salt curent password
var user = Users.SingleOrDefault(x => x.UserName == context.UserName);
if (user != null)
{
salt = user.Salt;
hashedPassword = IqUtils.GenerateSaltedPassword(context.Password, salt);
if (user.UserName == context.UserName && hashedPassword == user.Password)
{
try
{
context.AuthenticateResult = new AuthenticateResult(user.Subject, user.UserName);
}
catch (Exception ex)
{
string msg = $"<-- Login Error: Message: {ex.Message}, Inner Exception:{ex.InnerException} --->";
myLogger log = new myLogger("IdentityServer");
}
}
}
return Task.FromResult(0);
}
我遇到问题的地方是GetProfileDataAsync方法。我无法弄清楚如何向客户端添加声明或者我是否需要调用第二个客户端。
该应用程序是一个对Idsrv进行身份验证的角度客户端。我创建了一个客户端
//Angular client authentication
new Client
{
ClientId = "iqimplicit",
ClientName = "IQ Application (Implicit)",
Flow = Flows.Implicit,
AllowAccessToAllScopes = true,
IdentityTokenLifetime = 300,//default value is 5 minutes this is the token that allows a user to login should only be used once
AccessTokenLifetime = 3600, // default is one hour access token is used for securing routes and access to api in IQ
RequireConsent = false,
RequireSignOutPrompt = true,
AllowedScopes = new List<string>
{
//no clue if this is correct
StandardScopes.Profile.Name
},
RedirectUris = new List<string>
{
angularClient + "callback.html"
},
PostLogoutRedirectUris = new List<string>()
{
//redirect to login screen
angularClient
}
}
在SO posting here之后我试图将声明添加到返回给客户端的访问令牌。
我定义的范围仅适用于资源。我假设我需要创建一个类似于注释部分的身份的第二个？
return new List<Scope>
{
StandardScopes.OpenId,
StandardScopes.ProfileAlwaysInclude,
StandardScopes.Address,
new Scope
{
Name = "appmanagement",
DisplayName = "App Management",
Description = "Allow application to management.",
Type = ScopeType.Resource,
Claims = new List<ScopeClaim>()
{
new ScopeClaim("role", false),
new ScopeClaim("Name", true),
new ScopeClaim("GivenName", true),
new ScopeClaim("FamilyName", true),
new ScopeClaim("Email", true),
},
},
// new Scope
// {
// Name = "iquser",
// DisplayName = "User",
// Description = "Identifies the user",
// Type = ScopeType.Identity,
// Claims = new List<ScopeClaim>()
// {
// new ScopeClaim("Name", true)
// }
// }
};
}
}
}
我想要传回的信息如上所述（姓名，名字，姓氏电子邮件）。
尝试按照前面提到的SO postI的评论覆盖GetProfileDataAsync应该为用户获取信息。
public override Task GetProfileDataAsync(ProfileDataRequestContext context)
{
// issue the claims for the user
var user = Users.SingleOrDefault(x => x.Subject == context.Subject.GetSubjectId());
if (user != null)
{
if(context.RequestedClaimTypes != null)
try
{
if (context.RequestedClaimTypes != null)
{
List<Claim> newclaims = new List<Claim>();
foreach (Claim claim in context.Subject.Claims)
{
if (context.RequestedClaimTypes.Contains(claim.Type))
{
newclaims.Add(claim);
}
}
context.IssuedClaims = newclaims;
}
}
catch (Exception ex)
{
string msg = $"<-- Error Getting Profile: Message: {ex.Message}, Inner Exception:{ex.InnerException} --->";
myLogger log = new myLogger("IdentityServer");
}
}
//return Task.FromResult(context.IssuedClaims);
return Task.FromResult(0);
}
}
这就是我陷入困境的时候我看到我在context.RequestedClaimTypes中定义的声明claim.Type中永远不会匹配，因为它始终包含idsrv声明的基本属性。
由于这是一个自定义数据库，因此声明中的所有信息都存储在数据库的Users表中，而不是存储在Claims表中。我试图从用户表中将每个字段的值映射到Claim值。
更新 我已退回并退出范围，并将以下声明添加到标识scopeType
new Scope
{
Name = "iuser",
DisplayName = "User",
Description = "Identifies the user",
Type = ScopeType.Identity,
Claims = new List<ScopeClaim>()
{
new ScopeClaim(Constants.ClaimTypes.Name, alwaysInclude: true),
new ScopeClaim(Constants.ClaimTypes.GivenName, alwaysInclude: true),
new ScopeClaim(Constants.ClaimTypes.FamilyName, alwaysInclude: true),
new ScopeClaim(Constants.ClaimTypes.Email, alwaysInclude: true),
}
}
初始身份验证正常工作，在回调中我可以看到评估的范围。但是我仍然坚持我现在如何从应用于这些范围的数据库中获取值。这段代码（正如预期的那样）寻找System.Security.Claims.Claim类型。现在，这是确定如何获取我的用户属性的声明值并作为声明返回的停止点。
此时我被重定向回角度应用程序，但是对于用户信息，accesstoken对象是空白的。
如何在context.IssuedClaims中将我自己的值插入到声明中？
提前致谢
答案 0 :(得分：2)
关于你似乎想做什么的一些评论。
profile范围。如果您想要的所有声明都在OIDC标准范围内（此处为iuser / profile），则您不需要定义自己的范围email。您在iuser身份范围内声明的声明已涵盖在标准中的profile范围内。因此，只需要求profile范围，并允许您的客户请求该范围。
标准范围，以及它们的主张范围： http://openid.net/specs/openid-connect-core-1_0.html#StandardClaims
AllowedScopes配置有点不对。请改用以下常量。
AllowedScopes = new List<string>
{
Constants.StandardScopes.OpenId,
Constants.StandardScopes.Profile,
Constants.StandardScopes.Email,
}
..但请记住向idsrv提供您想要id_token的请求，其中包括来自profile范围的声明。换句话说，对/authorize，/userinfo或/token端点的请求必须包含scope个参数，其值至少为openid profile。
例如，像Brock A.在他的oidc js客户端库中做的那样： https://github.com/IdentityServer/IdentityServer3.Samples/blob/master/source/Clients/JavaScriptImplicitClient/app.js#L18
答案 1 :(得分：1)
乍一看，您的角度客户端看起来没有配置为请求资源范围iuser您只配置name身份范围的请求。将该范围添加到客户端iqimplicit的允许范围列表中，并确保将该范围添加到角度应用程序的客户端配置中。
答案 2 :(得分：1)
通过这一点，我终于能够找到一种方法来添加声明。
在UserService的{{1}}课程中，我最终能够使用以下内容创建和添加声明。
GetProfileDataAsync()我遇到的问题更多的是在模型中。通常保存在Claims存储中的所有信息都存储在用户自身上，因此在创建配置文件时，我必须从用户提取值并创建/添加它们作为声明。
角客户端中的OIDC经理随后授予我使用以下权限访问访问令牌及其值的权利要求：
var user = Users.SingleOrDefault(x => x.Subject == context.Subject.GetSubjectId());
if (user != null)
{
try
{
//add subject as claim
var claims = new List<Claim>
{
new Claim(Constants.ClaimTypes.Subject, user.Subject),
};
//get username
UserClaim un = new UserClaim
{
Subject = Guid.NewGuid().ToString(),
ClaimType = "username",
ClaimValue = string.IsNullOrWhiteSpace(user.UserName) ? "unauth" : user.UserName
};
claims.Add(new Claim(un.ClaimType, un.ClaimValue));
//get email
UserClaim uem = new UserClaim
{
Subject = Guid.NewGuid().ToString(),
ClaimType = "email",
ClaimValue = string.IsNullOrWhiteSpace(user.EmailAddress) ? string.Empty : user.EmailAddress
};
context.IssuedClaims = claims;
}
catch (Exception ex)
{
string msg = $"<-- Error Getting Profile: Message: {ex.Message}, Inner Exception:{ex.InnerException} --->";
myLogger log = new myLogger("IdentityServer");
}
}
//return Task.FromResult(context.IssuedClaims);
return Task.FromResult(0);
请注意， $scope.mgr.oidcClient.loadUserProfile($scope.mgr.access_token)
.then(function (userInfoValues) {
$scope.profile = userInfoValues;
$scope.fullName = $scope.profile.given_name + ' ' + $scope.profile.family_name;
checkAdmin($scope.profile.sys_admin);
$scope.$apply();
});
仅在此处使用，因为此代码存在于整个应用程序中使用的指令内。
我不确定这是否是添加声明的最佳实现，但这种方法确实有效。暂时我不会将此标记为答案，看看是否有更好的方法。