使用 okta 身份验证打开身份验证自省

Question

我正在尝试反省从 .net 核心 api 内部的 okta 收到的令牌，但不断收到“令牌未激活”。 通过下面的设置，我可以从令牌中检索身份。（基本的 okta 身份验证模式）

service.AddAuthentication(options =>
  {
   options.DefaultAuthenticateScheme = OktaDefaults.ApiAuthenticationScheme;         
   options.DefaultChallengeScheme = OktaDefaults.ApiAuthenticationScheme;
   options.DefaultSignInScheme = OktaDefaults.ApiAuthenticationScheme;
   })
   .AddOktaWebApi(new OktaWebApiOptions()
   {
   OktaDomain = configuration["Authentication:Okta:OktaDomain"],
   AuthorizationServerId = configuration["Authentication:Okta:AuthorizationServerId"],
   Audience = configuration["Authentication:Okta:Audience"]});

但我需要使用“内省”模式设置身份验证，这是我的配置：

service.AddAuthentication(auth =>     
    {
     auth.DefaultAuthenticateScheme = "Introspection";
       auth.DefaultChallengeScheme = "Introspection";
       auth.DefaultSignInScheme = "Introspection";
       })
       .AddOAuth2Introspection("Introspection", options =>
       {
       options.Authority = configuration["Authentication:Okta:Authority"];
       options.ClientId = configuration["Authentication:Okta:ClientId"];     
       options.TokenRetriever = request =>
    
       {
       string token = "";                
       if (request.Headers.ContainsKey("Authorization"))
       {                
        var parts = request.Headers["Authorization"].ToString().Split(" ");
        token = parts[1];
        return token;
       }
            if (request.Query.ContainsKey("access_token"))
            {
                token = request.Query["access_token"];
            }
            if (request.Cookies.ContainsKey("access_token"))
            {
                token = request.Cookies["access_token"];
            }
            return token;
        };
    });

有谁知道可能是什么原因？

Answer 1

好的，我找到了问题，但现在不知道如何解决，所以后面的 auth 处理程序通过错误的 url 发出请求，它没有将默认值指定为查询参数。 它应该是这样的：https://domain/oauth2/default/v1/introspect 但它看起来像这样：https://domain/oauth2/v1/introspect

Answer 2

我找到了解决方案。 IntrospectionOptions 上有一个IntrospectionEndpoint属性，您可以在其中指定包括 authenticationServerID 在内的完整路径。 还需要补充一点，对于某些 authServer，根本没有 authServID，您可以使用仅指定域（https://domain）的权限，并且所有 rest 都由 introspectionHandler 完成