ASP.Net身份和IndentityServer4声明

Question

我正在使用IdentityServer4作为OIDC提供程序和ASP.NET Core 2.0。

我已经浏览了几篇文章，以确保IdentityServer发出的声明最终出现在ClaimsPrincipal（即Auth Cookie）中，并设法通过ClaimsAction过滤来实现此目的。

但是我的问题是... 使用ASP.NET标识（​​和EF后备存储）运行IdentityServer时，如何将ASP.NET标识属性映射到IDS4返回的声明。默认情况下，IDS4返回诸如...的声明。

• “ sub”：来自IdentityUser.Id
• “名称”：来自IdentityUser.UserName
• “ preferred_username”：来自IdentityUser.UserName
• “电子邮件”：来自IdentityUser.Email
• “ email_verified”：来自IdentityUser.EmailConfirmed

我问这个的原因是我想映射

• “给定名称”：来自IdentityUser.FirstName（扩展属性）
• “ family_name”：来自IdentityUser.LastName（扩展属性）

因为在请求PROFILE范围时，默认情况下IDS4似乎没有执行此操作。

此外，我想问一下存储用户属性的最佳实践。使用ASP.NET Identity DB时，将创建两个表...

• AspNetUsers
• AspNetUserClaims

因此，最好的做法是将其他用户属性添加为...

1. IdentityUser的属性（作为新字段添加到AspNetUsers中）或...
2. AspNetUserClaims中的其他声明（可以在注册或登录时使用UserManager.AddClaimAsync（）添加这些声明
）

Answer 1

如何将用户属性映射到声明

当您回答yourself时，应该以编程方式映射扩展属性。

  

  
• 如果要将列添加到AspNetUsers表，请扩展IdentityUser类。 （例如，公共类MyApplicationUser：IdentityUser），然后添加您的自定义属性（例如，FirstName）。这实质上改变了模型。为了确保EF将模型更改写入数据库表，您需要使用新的MyApplicationUser类扩展IdentityDbContext类。
  
• 如果要将用户的自定义声明（例如hair_color）添加到AspNetUserClaims表中，则需要调用userManager.AddClaimAsync（）。您可以在注册过程或登录过程中使用表单中的数据，或从外部身份验证提供商（例如Google，Facebook，Twitter等）收到的声明中进行此操作。
  

但是，正如您在我对其他问题的回答中所读到的那样，我认为您不应映射它们，而应立即对其进行声明。

存储用户属性的位置

我发现您的另一个问题更有趣：向AspNetUsers添加什么属性以及何时向AspNetUserClaims添加什么属性？
据我了解，经验法则是：

• （仅）旨在与其他应用程序（用户信息）共享的数据应作为受保护的身份资源，因此应在AspNetUsersClaims中声明。
在功能上用于身份验证（authentication-info）的
• 数据应该是用户（AspNetUsers）的一部分，因此用于以下各项的数据：标识，登录，还原，2事实等（例如用户名，密码） ，电子邮件，电话）

示例：

• 如果您想添加出生日期，请将其添加到AspNetUsersClaims（除非您打算以某种方式使用它进行身份验证/登录）
• 如果您想存储与帐户/登录相关的数据，例如accountExpiresDate或CreatedFromIP，请将其添加到AspNetUsers（并扩展IdentityUser）

因此，如果您使用UserClaimsPrincipalFactory向用户声明中添加用户属性，则可能只是将该属性添加到错误的表中！

TLDR

当我自己对此感到疑惑时，我实际上找到了你的问题。我开始使用上面的经验法则，但是这个问题不断出现，因为很多示例都没有遵循此法则。 例如。 Microsoft有一个示例建议添加Name and DOB，这似乎与此矛盾。 但是， OpenID 已在可选的standard claims：birthdate, name, family_name, given_name, middle_name, nickname, preferred_username中将这些属性（默认）定义为profile scope。