IdentityServer4 QuckStart 授权与自定义Claims的问题

下面我会详细讲解 IdentityServer4 QuckStart 授权与自定义Claims 的问题，并提供两条示例说明。

什么是 IdentityServer4 QuckStart？

IdentityServer4 是一款基于 ASP.NET Core 的开源身份验证和授权服务器。通过 IdentityServer4，我们可以为我们的应用程序提供安全保护，让用户在一定条件下访问应用程序中特定的资源。而 IdentityServer4 QuckStart 就是 IdentityServer4 的快速入门版。通过完成 IdentityServer4 QuckStart 教程，您可以学习到如何配置 IdentityServer4，并为应用程序添加身份验证和授权功能。

如何在 IdentityServer4 中进行授权？

在 IdentityServer4 中进行授权，需要遵循以下步骤：

1. 配置 IdentityServer4

在服务器端，我们需要配置 IdentityServer4，以便它能够提供授权服务。配置 IdentityServer4 包括指定可以进行授权的 API 资源、客户端、身份资源和声明类型等。

1. 配置客户端

在客户端，我们需要集成 IdentityServer4 的授权服务，并在我们的应用程序中配置客户端的信息，包括客户端 ID、客户端密钥、支持的授权类型等。客户端可以是 Web 应用程序、原生移动应用程序或桌面应用程序等。

1. 发起授权请求

当用户需要访问受保护资源时，客户端需要向 IdentityServer4 发起授权请求。这个请求需要包括客户端 ID、客户端密钥和请求的授权类型等。

1. 授权访问

如果 IdentityServer4 接受授权请求并验证了客户端的身份和请求权限，则会发出访问令牌。然后，客户端可以使用这个访问令牌访问受保护的资源。

如何在 IdentityServer4 中自定义 Claims？

在 IdentityServer4 中自定义 Claims，需要遵循以下步骤：

1. 配置 IdentityServer4

我们可以在 IdentityServer4 中配置自定义声明类型，然后指定将哪些声明添加到访问令牌中。在进行身份验证和授权时，IdentityServer4 会将这些声明添加到访问令牌中。

1. 添加声明到访问令牌中

在为 IdentityServer4 配置 OAuth 授权服务时，可以使用 AuthenticationProperties 对象添加任意声明。例如：

var props = new AuthenticationProperties(new Dictionary<string, string>
{
    { "my_custom_claim", "value" }
});

在上面的代码中，我们在 AuthenticationProperties 对象中添加了一个名为 my_custom_claim 的声明，其值为 value。然后，我们可以将这个 AuthenticationProperties 对象传递给 ChallengeAsync 方法，以便 IdentityServer4 将这个声明添加到访问令牌中。

示例1：在 IdentityServer4 中添加自定义声明

在 IdentityServer4 中添加自定义声明，可以通过以下方式实现：

1. 在 IdentityServer4 服务器端的 Startup.cs 文件中，将自定义声明类型添加到服务容器中：

services.AddIdentityServer()
        .AddApiAuthorization<ApplicationUser, ApplicationDbContext>(options =>
        {
            options.IdentityResources["openid"].UserClaims.Add("my_custom_claim");
        });

在上面的代码中，我们向 IdentityServer4 服务器端注册一个自定义的声明类型 my_custom_claim。

1. 在 IdentityServer4 客户端的代码中，调用 ChallengeAsync 方法添加名为 my_custom_claim 的自定义声明：

public async Task<ActionResult> CallApi()
{
    var result = await _client.ChallengeAsync(new AuthenticationProperties
    {
        Items =
        {
            { "my_custom_claim", "custom value" }
        },
        RedirectUri = "/index"
    });

    return result;
}

在上面的代码中，我们创建了一个 AuthenticationProperties 对象，并在其中添加了名为 my_custom_claim 的自定义声明，其值为 custom value。然后，我们将这个 AuthenticationProperties 对象传递给 ChallengeAsync 方法。此外，我们还指定了一个重定向地址，以便用户完成授权后跳转到这个地址。

示例2：在 IdentityServer4 中使用数据库中的声明

在 IdentityServer4 中使用数据库中的声明，可以通过以下方式实现：

1. 修改 IdentityServer4 服务器端的 Startup.cs 文件，以从数据库中加载声明类型和其对应的声明值：

services.AddIdentityServer()
        .AddApiAuthorization<ApplicationUser, ApplicationDbContext>(options =>
        {
            options.IdentityResources["openid"].UserClaims.Clear();

            var customClaims = _dbContext.CustomClaims.ToList();

            foreach (var claim in customClaims)
            {
                options.IdentityResources["openid"].UserClaims.Add(claim.Type);
            }
        });

在上面的代码中，我们获取了一个 CustomClaim 的列表，并将其中的声明类型添加到 IdentityServer4 的用户声明列表中。

1. 添加一个 IProfileService 实现，以从数据库中加载声明值：

public class ProfileService : IProfileService
{
    private readonly ApplicationDbContext _dbContext;

    public ProfileService(ApplicationDbContext dbContext)
    {
        _dbContext = dbContext;
    }

    public async Task GetProfileDataAsync(ProfileDataRequestContext context)
    {
        var user = await _dbContext.Users.FirstOrDefaultAsync(u => u.SubjectId == context.Subject.GetSubjectId());

        if (user != null)
        {
            var customClaims = _dbContext.CustomClaims.Where(c => c.UserId == user.Id).Select(c => new Claim(c.Type, c.Value)).ToList();

            customClaims.ForEach(claim => context.IssuedClaims.Add(claim));
        }
    }

    public async Task IsActiveAsync(IsActiveContext context)
    {
        var user = await _dbContext.Users.FirstOrDefaultAsync(u => u.SubjectId == context.Subject.GetSubjectId());

        context.IsActive = user != null;
    }
}

在上面的代码中，我们实现了 IProfileService 接口，然后在 GetProfileDataAsync 方法中从数据库中加载具有与请求的主题相关联的声明值。最后，我们将这些声明添加到 ProfileDataRequestContext.IssuedClaims 集合中。

1. 在 IdentityServer4 的开始类中注册 IProfileService 实现：

services.AddScoped<IProfileService, ProfileService>();

在上面的代码中，我们向服务容器注册了 IProfileService 接口的实现，并指定了其生命周期。

这样，我们就可以在 IdentityServer4 中从数据库中加载声明值，并将这些声明添加到访问令牌中。

以上就是 IdentityServer4 QuckStart 授权与自定义 Claims 的问题的完整攻略。