如何使用 IdentityServer4 为 MVC 客户端添加其他声明

Question

我正在使用此处找到的 IdentityServer4“AspNetCoreAndApis”示例应用程序

它有一个令牌服务器和一个 MVC 客户端应用程序。

身份服务器项目有一个使用他们的演示服务器设置的外部 OIDC 身份验证提供程序 - https://demo.identityserver.io/

在MvcClient遇到受保护的端点后，被重定向到本地身份服务器，选择演示服务器并进行身份验证，然后到达本地身份服务器的ExternalController回调。 在这一点上，我想向用户发出额外的声明，并让它们在MvcClient可用。

回调中有代码来添加additionalLocalClaims并发出 cookie。 我尝试添加另一个声明：

var additionalLocalClaims = new List<Claim>();
additionalLocalClaims.Add(new Claim("TestKey", "TestValue"));
await HttpContext.SignInAsync(user.SubjectId, user.Username, provider, localSignInProps, additionalLocalClaims.ToArray());

但是当用户到达MvcClient的HomeController ，这个声明就不存在了。

我想我没有正确理解在何处使用哪种身份验证方案，以及相关 cookie 的功能。

编辑：

为了回应下面的第一条评论，我尝试将声明附加到请求的范围，但仍然没有运气 - 这是内存资源存储：

public static IEnumerable<ApiResource> Apis
    {
        get
        {
            var apiResource = new ApiResource("api1", "My API");
            apiResource.UserClaims.Add("TestKey");
            var resources = new List<ApiResource>
            {
                apiResource
            };
            return resources;
        }
    }

MvcClient 既允许 api1 范围，又请求它。

Answer 1

您的客户端 MVC 可以从 ID token 或 UserInfo endpoint 获取用户的自定义声明。

要将声明添加到 ID token ，您可以设置客户端的配置： AlwaysIncludeUserClaimsInIdToken 。 但是涉及到所有用户声明的 ID token 不建议关注 ID Token 的大小。

更好的解决方案是让您的客户端应用程序从 UserInfo 端点获取用户声明：

public class MyProfileService : IProfileService
{
    public MyProfileService()
    { }

    public Task GetProfileDataAsync(ProfileDataRequestContext context)
    {

        var claims = new List<Claim>()
        {

            new Claim("TestKey", "TestValue")
        };
        context.IssuedClaims.AddRange(claims);
        return Task.CompletedTask;
    }

    public Task IsActiveAsync(IsActiveContext context)
    {
        // await base.IsActiveAsync(context);
        return Task.CompletedTask;
    }
}

在 DI 注册：

services.AddTransient<IProfileService, MyProfileService>();

IProfileService服务可用于向 ID 令牌、访问令牌和 UserInfo 端点添加声明。 默认情况下，自定义声明不会涉及使用IProfileService ID 令牌事件，原因如上所述 - ID 令牌大小。 因此，您可以使用 OIDC 中间件配置使您的客户端应用程序从 UserInfo 端点获取声明：

options.Scope.Add("profile");
options.GetClaimsFromUserInfoEndpoint = true;
options.ClaimActions.MapJsonKey("TestKey", "TestKey");

以上代码将添加 OIDC profile权限以从端点获取声明，并使用 ID Token 向connect/userinfo端点发送请求，并获取名称为TestKey声明并将声明映射到您客户端的声明原则并保存到 cookie 。 现在您可以使用 MVC 中的User.Claims获得声明。