如何在IdentityServer4运行时添加/管理用户声明

Question

如何在IdentityServer4运行时添加/管理用户声明

asp.net-web-apiasp.net-coreauthorizationidentityserver4claims

6

我正在尝试在一个新项目中使用IdentityServer4。在PluralSight视频“理解ASP.NET Core安全性”中，我看到了可以使用基于声明的安全性来保护Web API的IdentityServer4。我已将我的IdentityServer4设置为单独的项目/解决方案。

我还看到您可以添加IProfileService以向由IdentityServer4返回的令牌添加自定义声明。

其中一个计划是向用户添加新声明，以授予他们访问API不同部分的权限。但是，我无法弄清楚如何从api项目管理IdentityServer用户的声明。我假设我应该调用IdentotyServer4来添加和删除用户的声明？

此外，总的来说，这是否是一个好方法？因为我不确定允许客户端为其自身的内部安全目的添加声明是否有意义-并且可能会导致冲突（例如，多个客户端使用值为“admin”的'role'声明）。也许我应该在api项目中本地处理安全性，然后只使用'sub'声明来查找它们？

请问是否有任何好的解决方法？

- Levitybot

2

声明涉及身份验证而非权限。https://leastprivilege.com/2016/12/16/identity-vs-permissions/ - leastprivilege

1

嗨@leastprivilege，感谢提供链接。该链接确实表明了您的观点，但我仍然有些困惑，因为在这个视频中（您被认为是帮助创建的课程的一部分），声明被用于授权。该视频名为“基于声明的策略授权”。您是否不同意这种方法？您是否有任何关于正确结合IdentityServer4和授权的信息链接？再次感谢 https://app.pluralsight.com/player?course=asp-dot-net-core-security-understanding&author=roland-guijt&name=c80587ee-9819-4b66-b743-6273ca1f32ff&clip=1&mode=live - Levitybot

我还没有观看PluralSight课程。我在我的博客文章中已经说了所有的话。一个令牌不是权限的好传输机制。如果你决定使用字符串集合（也称为ClaimsPrincipal）来保存你的内存授权数据 - 那就由你决定。 - leastprivilege

1个回答

网页内容由stack overflow 提供, 点击上面的

可以查看英文原文，
原文链接

- Nick De Beer · Accepted Answer

这是一个旧问题，但仍然相关。leastprivilege在评论中说：

声明涉及身份验证 - 而不是权限。

这是正确的，但身份还可以包括用户类型（管理员、用户、经理等），这可以用于在API中确定权限。也许设置具有特定权限的用户角色？实际上，您还可以将角色按客户端分开以获得更多控制，例如如果CLIENT1-Admin不应具有与CLIENT2-Admin相同的权限，则可以进行划分。

因此，在您的IProfileService中传递您的角色作为声明。

public class ProfileService : IProfileService
{
    private readonly Services.IUserService _userService;

    public ProfileService(Services.IUserService userService)
    {
        _userService = userService;
    }

    public async Task GetProfileDataAsync(ProfileDataRequestContext context)
    {
        try
        {
            switch (context.Client.ClientId)
            {
                //setup profile data for each different client
                case "CLIENT1":
                {
                    //sub is your userId.
                    var userId = context.Subject.Claims.FirstOrDefault(x => x.Type == "sub");

                    if (!string.IsNullOrEmpty(userId?.Value) && long.Parse(userId.Value) > 0)
                    {
                        //get the actual user object from the database
                        var user = await _userService.GetUserAsync(long.Parse(userId.Value));

                        // issue the claims for the user
                        if (user != null)
                        {
                            var claims = GetCLIENT1Claims(user);

                            //add the claims
                            context.IssuedClaims = claims.Where(x => context.RequestedClaimTypes.Contains(x.Type)).ToList();
                        }
                    }
                }
                break;
                case "CLIENT2":
                {
                    //...
                }
            }
        }
        catch (Exception ex) 
        {
            //log your exceptions
        }
    }

    // Gets all significant user claims that should be included
    private static Claim[] GetCLIENT1Claims(User user)
    {
        var claims = new List<Claim>
        {
            new Claim("user_id", user.UserId.ToString() ?? ""),
            new Claim(JwtClaimTypes.Name, user.Name),
            new Claim(JwtClaimTypes.Email, user.Email ?? ""),
            new Claim("some_other_claim", user.Some_Other_Info ?? "")
        };

        //----- THIS IS WHERE ROLES ARE ADDED ------
        //user roles which are just string[] = { "CLIENT1-Admin", "CLIENT1-User", .. }
        foreach (string role in user.Roles)
            claims.Add(new Claim(JwtClaimTypes.Role, role));

        return claims.ToArray();
    }
}

然后，给你的控制器添加 [Authorize] 属性以配置特定权限。这只允许特定角色访问它们，从而设置自己的权限。

[Authorize(Roles = "CLIENT1-Admin, CLIENT2-Admin, ...")]
public class ValuesController : Controller
{
    //...
}

如果您正在使用自定义的ResourceOwnerPasswordValidator来设置ResourceOwner，则上述声明也可以在身份验证中传递。您可以像以下方式一样在Validation方法中传递声明。请注意保留HTML标记。ResourceOwnerPasswordValidator是指验证ResourceOwner密码的类。

context.Result = new GrantValidationResult(
    subject: user.UserId.ToString(),
    authenticationMethod: "custom",
    claims: GetClaims(user));

所以像leastprivilege所说的那样，您不希望使用IdentityServer来设置权限并将其作为声明传递（例如谁可以编辑哪个记录），因为它们太具体化并且会使令牌混乱，但是设置角色以授予它们访问不同部分的API是完全可以的。这对于用户角色来说非常合适。希望能有所帮助。