客服电话
APP下载
迪恩网络APP
随时随地掌握行业动态
官方微信
扫描二维码
关注迪恩网络微信公众号
|
注：这是一篇翻译，来自这里。这篇文章讲述了在asp.net core2.0中使用openid connect handler的过程中解析不到你想要的claim时，你可以参考这篇文章。 Missing Claims in the ASP.NET Core 2 OpenID Connect Handler?当从OIDC provider（identity provider，idp）中将claims映射到ASP.NET Core 2中的ClaimsPrincipal时，新的OpenID Connect Handler表现出了一些不同的行为。 这种情况看起来特别令人困惑和难以诊断，因为这里有几个变化的部分。让我们看看。 你也可以从这里下载demo来研究以下。 Mapping of standard claim types to Microsoft proprietary ones从标准claim类型映射成Microsoft专有的 首先让人感到恶心的是，Microsoft仍然认（意）为（淫）将OIDC标准的Claim类型映射成他们专有的类型（这种做法）对于你来说是最好的一种方式。 令人欣慰的是，通过在Microsoft JWT令牌处理程序（token handler）中清除流入（inbound ）Claim类型映射，可以很好地解决这个问题： JwtSecurityTokenHandler.DefaultInboundClaimTypeMap.Clear(); A basic OpenID Connect authentication request一个基本的OpenID Connect authentication handler请求 接下来，让我们从一个简单的场景开始，客户端只请求openid范围（scope）。 第一件令人困惑的事情是Microsoft会在OpenIdConnectOptions类的构造方法中预先加载openid和profile这两个请求范围。这意味着如果你只是想请求一个openid的范围，那么你必须调用一个清除的方法，然后在手动的把openid这个请求范围添加进去： services.AddAuthentication(options => { options.DefaultScheme = "Cookies"; options.DefaultChallengeScheme = "oidc"; }) .AddCookie("Cookies", options => { options.AccessDeniedPath = "/account/denied"; }) .AddOpenIdConnect("oidc", options => { options.Authority = "https://demo.identityserver.io"; options.ClientId = "server.hybrid"; options.ClientSecret = "secret"; options.ResponseType = "code id_token"; options.SaveTokens = true; options.Scope.Clear();//①先要删除 options.Scope.Add("openid");//②在添加，这样你才能只请求到openid这个scope options.TokenValidationParameters = new TokenValidationParameters { NameClaimType = "name", RoleClaimType = "role" }; }); 在asp.net core 1.x的版本中，上述代码会返回如下claim：nbf, exp, iss, aud, nonce, iat, c_hash, sid, sub, auth_time, idp, amr. 在asp.net core2.x的版本中，却只会返回sid, sub和idp。发生了神马？？？？？？ Microsoft在这其中添加了一个新的概念：ClaimActions。这个类具体要做的事情是指定一个规则，来处理外部流入的claims如何去映射成为你自己的ClaimsPrincipal中的claim。查看以下OpenIdConnectOptions的构造方法，你会发现现在这个openid connect handler在默认情况下跳过了很多的映射： ClaimActions.DeleteClaim("nonce"); ClaimActions.DeleteClaim("aud"); ClaimActions.DeleteClaim("azp"); ClaimActions.DeleteClaim("acr"); ClaimActions.DeleteClaim("amr"); ClaimActions.DeleteClaim("iss"); ClaimActions.DeleteClaim("iat"); ClaimActions.DeleteClaim("nbf"); ClaimActions.DeleteClaim("exp"); ClaimActions.DeleteClaim("at_hash"); ClaimActions.DeleteClaim("c_hash"); ClaimActions.DeleteClaim("auth_time"); ClaimActions.DeleteClaim("ipaddr"); ClaimActions.DeleteClaim("platf"); ClaimActions.DeleteClaim("ver"); 如果你不想要错过某一个claim，那你需要通过claimaction来做一些设定。如下这个方法“很直观”的将一个“amr ”的claim找了回来： options.ClaimActions.Remove("amr");//不想吐槽，不过这是什么狗屁名字了？希望不要产生误解，这个方法是要找回你想要的claim 如果你想要查看所有原始的这些claim（在ClaimsPrincipal中保存的token上），那你得将claimaction从里到外处理一遍（添加一堆的Remove方法）。 Requesting more claims from the OIDC provider从idp中获取更多的claim 当你想要请求更多的scope，比如profile，或者一些自定义的scope，总之就是想要多一些请求范围，那么你会发些另外一些令人困惑的事情。。。 依赖于OIDC这个协议中的response_type,一些claims是通过id token拿到的，而另一些则是通过userinfo端点拿到的。这些详细信息记录在这里。 所以，首先你需要在handler中添加对userinfo端点的支持： options.GetClaimsFromUserInfoEndpoint = true;
如果claims从userinfo端点返回，那这个时候ClaimsAction又要上场了。它还是从返回的JSON document（userinfo返回的）中将claim映射到ClaimsPrincipal中。下面的代码展示了一些默认的设置： ClaimActions.MapUniqueJsonKey("sub", "sub"); ClaimActions.MapUniqueJsonKey("name", "name"); ClaimActions.MapUniqueJsonKey("given_name", "given_name"); ClaimActions.MapUniqueJsonKey("family_name", "family_name"); ClaimActions.MapUniqueJsonKey("profile", "profile"); ClaimActions.MapUniqueJsonKey("email", "email"); 换句话说，如果一些发送到你客户端的claims中有一些特别的，没有存在于上面这些代码所展示的映射清单中出现，那么，那些（没有映射的）就直接被忽略了，没了，炒丢了。你得自己再显式的映射一遍: options.ClaimActions.MapUniqueJsonKey("website", "website");//再换句话说，OIDC中出现的标准claim，但却并没有在Microsoft中进行映射，需要你自己映射。 同样的情形也适用于你通过userinfo返回的任何其他claim。 希望这些讲述是有帮助的。给我的感觉就是，OAuth2.0和OpenID Connect还在发展过程中，有一些东西将来可能是有变化的，现在对映射进行显式处理，如果Mocrofost在这里把一些东西写死了，将来万一有一些变化的东西出来，那就不好弄了。
|
请发表评论