IdentityServer开题篇

时间:2022-10-29 13:32:39

最近也研究了一段时间的IdentityServer4,园里关于IdentityServer的文章也很多,这里也简单写写,做做记录(文笔不佳,见谅)。

1.identityserver是什么?

Identityserver是一个OpenID Connect和OAuth 2.0框架。它实现了这两种协议流程,也提供了客户端以便于集成。(基本上OpenID Connect和OAuth 2.0部分代码是无法更改的,里面的endpoint相关代码都是内部类)

Identityserver也支持自定义协议,你可以自己添加一个自己的验证授权流程,不过需要写很多代码,官网提供了一个WsFederation协议的例子。

Identityserver支持以下几种模式,也可以自己自定义模式:

Implicit(隐式授权模式):隐式授权类型针对基于浏览器的应用程序进行了优化。仅用于用户身份验证(服务器端和JavaScript应用程序),或身份验证和访问令牌请求(JavaScript应用程序)。不支持刷新token,简单来说就是一系列授权和用户登录的流程。对应的模式是混合模式。

Authorization code(授权码模式):获取授权码,再通过授权码获取accesstoken和refreshtoken

Hybrid(混合模式):混合流是隐式和授权代码流的组合。支持刷新token。

Client credentials(客户端认证模式):通过客户端id和秘钥获取token

Resource owner password(用户名密码模式):使用用户名密码获取token

Refresh tokens(刷新token模式):使用刷新token获取新的accesstoken和刷新token

上各种模式的最终目的都是获取授权,例如Idtoken(包含用户信息,JWT格式),accesstoken,accesstoken包含了用户授权的信息,例如允许访问哪些api等。

2.Identityserver能做什么

单点登录:我一开始接触identityserver就是为了实现单点登录,一般使用Implicit(隐式授权模式)或者 Hybrid(混合模式)实现单点登录。

Implicit流程如下:

登录:

用户在客户端网站1通过客户端id和秘钥等信息访问identityserver,验证通过后跳转到登录页面,输入用户名密码正确会返回idtoken,客户端网站1通过解密获取用户信息并存储cookie(第一次登录)

客户端网站2通过客户端id和秘钥等信息访问identityserver,发现用户已认证(identityserver网站存储了cookie),客户端网站2通过解密获取用户信息并存储cookie(第二次登录)

登出:

用户通过客户端网站1访问Identityserver的结束会话端点,需要id_token_hint和post_logout_redirect_uri参数,Identityserver清除会话信息(cookie),并会回调所有登录客户端的FrontChannelLogout(前端注销)和BackChannelLogout(后端注销)地址,

接着跳转到网站1的post_logout_redirect_uri地址。

ps:通过identityserver实现的单点登录必须每个网站验证都需要跳转到identityserver,若要实现一次登录所有网站都登录的模式(jsonp实现单点登录),只能再通过一个子网站作为中转

认证服务:适用于各种客户端集中登录逻辑和工作流程。单点登录就是其中一种实现。

API访问控制:一种是基于客户端的访问,一种是基于用户的访问,都是通过Identityserver获取accesstoken(accesstoken有api的授权),获取的时候需要包含允许访问的api参数,然后就可以通过accesstoken访问api了。

ps:api也是需要自己新建的,接入identityserver验证或者bear认证就可以了。

接入第三方授权访问:例如google,facebook,qq,微博等。