IdentityServer4学习笔记(1)

IdentityServer4

1、特性

• 作为服务的身份验证
• 单点登录、登出
• API访问控制
• 联合网关
• 专注于定制

2、

基于Token的安全验证体系

• 替代密码的凭证
• 使用public key验证token未被篡改

流程-4种类型的授权

• Redirect Flows
  • Implicit Grant: 适用js客户端
  • Authorization Code: 适合其他应用
• Credential Flows
  • Resource Owner Password Credentials
  • Client Credentials

OAuth2

• 用来授权，使用access token访问API资源
• 定义了不同类型的客户端应用如何安全完成授权
• 定义了一些端点，以及不同类型的客户端如何使用这些端点

目标

• 让客户端应用可以代表资源所有者（用户）来访问被保护的资源

角色

• Resource Owner
• Client
• Protected Resource
• Authorization Server

组件

• Access Token
• Refresh Token
• Scope

OpenID Connect

• 身份检验，兼容OAuth2
• 获取identity token，可以用来登录客户端应用程序
• UserInfo端点，允许客户端应用获取用户的额外信息