OAuth2/OIDC实战：用OpenIddict实现.NET Core单点登录系统

江沉晚呤时

于 2025-04-09 02:00:00 发布

阅读量739

点赞数 18

分类专栏： Net core 文章标签：服务器网络数据库 .netcore 开发语言

本文链接：https://blog.csdn.net/weixin_48916144/article/details/147078039

版权

Net core 专栏收录该内容

38 篇文章

订阅专栏

一、OAuth2与OpenID Connect核心概念解析

1.1 OAuth2.0协议基础架构

OAuth2.0是一种授权框架，包含四个核心角色：

**资源所有者(Resource Owner)**：通常是终端用户
**客户端(Client)**：请求访问资源的应用
**授权服务器(Authorization Server)**：颁发访问令牌
**资源服务器(Resource Server)**：托管受保护资源

标准授权流程包括：

授权码模式(最安全)
隐式模式(逐渐淘汰)
密码模式(不推荐)
客户端凭证模式(服务间通信)

1.2 OpenID Connect扩展协议

OIDC在OAuth2基础上添加身份层：

ID Token(JWT格式)
UserInfo端点
标准声明(claims)
会话管理

核心规范：

核心(Core)：定义基本功能
发现(Discovery)：动态配置
动态注册(Dynamic Registration)
会话管理(Session Management)

二、OpenIddict框架深度剖析

2.1 架构设计原理

OpenIddict采用模块化设计：

+---------------------+
|   ASP.NET Core      |
|   Authentication    |
+----------+----------+
           |
+----------v----------+
|   OpenIddict.Core   | <-> 存储抽象
+----------+----------+
           |
+----------v----------+
| EntityFrameworkCore | (或其他存储提供程序)
+---------------------+

2.2 核心组件说明

ApplicationManager：管理客户端应用
AuthorizationManager：授权记录
ScopeManager：权限范围管理
TokenManager：令牌生命周期管理

三、生产级实现方案

3.1 认证服务器完整配置

数据库上下文增强配置

services.AddDbContext<AuthDbContext>(options => {
    options.UseSqlServer(config.GetConnectionString("AuthDB"));
    options.UseOpenIddict()
           .UseEntityFrameworkCore()
           .ReplaceDefaultEntities<Guid>(); // 使用Guid作为主键
});

高级安全配置

services.AddOpenIddict()
    .AddServer(options => {
        // 设置端点路径
        options.SetAuthorizationEndpointUris("/connect/authorize")
               .SetTokenEndpointUris("/connect/token")
               .SetUserinfoEndpointUris("/connect/userinfo")
               .SetLogoutEndpointUris("/connect/logout");
        
        // 生产环境证书配置
        options.AddEncryptionCertificate(
            new X509Certificate2("encryption-cert.pfx", "password"));
        options.AddSigningCertificate(
            new X509Certificate2("signing-cert.pfx", "password"));
        
        // 令牌生命周期配置
        options.SetAccessTokenLifetime(TimeSpan.FromMinutes(30));
        options.SetRefreshTokenLifetime(TimeSpan.FromDays(14));
        
        // 增强安全配置
        options.RequireProofKeyForCodeExchange() // PKCE增强
               .DisableAccessTokenEncryption(); // 仅在测试环境使用
    });

3.2 客户端应用集成

高级OpenID Connect配置

services.AddAuthentication(options => {
    options.DefaultScheme = "Cookies";
    options.DefaultChallengeScheme = "oidc";
})
.AddCookie("Cookies", options => {
    options.ExpireTimeSpan = TimeSpan.FromHours(8);
    options.SlidingExpiration = true;
    options.AccessDeniedPath = "/error/403";
})
.AddOpenIdConnect("oidc", options => {
    options.Authority = "https://auth.yourdomain.com";
    
    // 客户端凭证
    options.ClientId = "webapp";
    options.ClientSecret = "secret";
    
    // 响应类型配置
    options.ResponseType = OpenIdConnectResponseType.Code;
    options.ResponseMode = OpenIdConnectResponseMode.Query;
    
    // 范围配置
    options.Scope.Clear();
    options.Scope.Add("openid");
    options.Scope.Add("profile");
    options.Scope.Add("email");
    options.Scope.Add("offline_access"); // 刷新令牌
    
    // 声明映射
    options.ClaimActions.MapJsonKey("website", "website");
    options.ClaimActions.MapJsonKey("gender", "gender");
    
    // 事件处理
    options.Events = new OpenIdConnectEvents {
        OnRedirectToIdentityProvider = context => {
            // 添加自定义参数
            context.ProtocolMessage.SetParameter("ui_locales", "zh-CN");
            return Task.CompletedTask;
        },
        OnTokenResponseReceived = context => {
            // 令牌响应处理
            return Task.CompletedTask;
        }
    };
    
    // 令牌验证
    options.TokenValidationParameters = new TokenValidationParameters {
        NameClaimType = "name",
        RoleClaimType = "role",
        ValidateIssuer = true,
        ValidateAudience = true,
        ValidateLifetime = true,
        ClockSkew = TimeSpan.FromSeconds(5)
    };
});

四、企业级功能实现

4.1 多租户支持方案

// 自定义租户解析器
public class TenantResolver : IOpenIddictClientDispatcher
{
    public ValueTask ProcessAsync<TContext>(TContext context) where TContext : BaseRequestContext
    {
        if (context is not ProcessRequestContext<ProcessChallengeContext> challengeContext)
            return default;
        
        // 从请求中提取租户信息
        var tenant = challengeContext.HttpContext.Request.RouteValues["tenant"] as string;
        
        if (!string.IsNullOrEmpty(tenant))
        {
            challengeContext.ProtocolMessage.SetParameter("tenant", tenant);
        }
        
        return default;
    }
}

// 注册服务
services.AddOpenIddict()
    .AddClient(options => {
        options.AddEventHandler<ProcessChallengeContext>(builder => 
            builder.UseSingletonHandler<TenantResolver>());
    });

4.2 分布式会话管理

// 使用Redis存储会话
services.AddStackExchangeRedisCache(options => {
    options.Configuration = config.GetConnectionString("Redis");
    options.InstanceName = "SSO_Sessions_";
});

services.AddOpenIddict()
    .AddServer(options => {
        options.SetRevocationEndpointUris("/connect/revoke");
        options.UseReferenceAccessTokens(); // 使用引用令牌
    });

// 实现令牌撤销检查
services.AddScoped<ITokenValidator, DistributedTokenValidator>();

五、性能优化与安全加固

5.1 缓存策略实现

// JWKS缓存
services.AddHttpClient("jwks")
    .AddPolicyHandler(Policy<HttpResponseMessage>
        .HandleResult(r => !r.IsSuccessStatusCode)
        .WaitAndRetryAsync(3, retryAttempt => 
            TimeSpan.FromSeconds(Math.Pow(2, retryAttempt))));

// 响应缓存
services.AddResponseCaching(options => {
    options.MaximumBodySize = 1024;
    options.UseCaseSensitivePaths = true;
});

// 在控制器中使用
[ResponseCache(Duration = 60, Location = ResponseCacheLocation.Client)]
public IActionResult Configuration() => Ok(GetOIDCConfig());

5.2 安全防护措施

// CSP头部配置
app.Use(async (context, next) => {
    context.Response.Headers.Add("Content-Security-Policy", 
        "default-src 'self'; script-src 'self' 'unsafe-inline'");
    await next();
});

// 安全令牌存储
services.AddDataProtection()
    .PersistKeysToDbContext<AuthDbContext>()
    .SetApplicationName("SSO_System");

// 防CSRF配置
services.AddAntiforgery(options => {
    options.HeaderName = "X-CSRF-TOKEN";
    options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
});

六、监控与故障排查

6.1 诊断日志配置

// 详细日志配置
services.AddLogging(logging => {
    logging.AddConsole()
           .AddDebug()
           .AddApplicationInsights();
});

// OpenIddict诊断
services.AddOpenIddict()
    .AddServer(options => {
        options.EnableDegradedMode(); // 开发环境诊断
        options.SetDiagnosticsEnabled(true);
    });

// 自定义日志过滤器
builder.Services.Configure<OpenIddictServerOptions>(options => {
    options.Events.ProcessRequestContext += context => {
        logger.LogInformation("Processing {RequestType} request", context.RequestType);
        return Task.CompletedTask;
    };
});

6.2 健康检查端点

// 健康检查配置
services.AddHealthChecks()
    .AddDbContextCheck<AuthDbContext>(
        name: "db-check",
        tags: new[] { "ready" })
    .AddRedis(config.GetConnectionString("Redis"),
        name: "redis-check")
    .AddUrlGroup(
        new Uri("https://auth.yourdomain.com/.well-known/openid-configuration"),
        name: "oidc-config");

// 端点路由
app.MapHealthChecks("/health/ready", new HealthCheckOptions {
    Predicate = check => check.Tags.Contains("ready"),
    ResponseWriter = UIResponseWriter.WriteHealthCheckUIResponse
});

七、移动端适配方案

7.1 移动应用特殊配置

// 自定义授权请求处理
services.AddOpenIddict()
    .AddServer(options => {
        options.AllowCustomFlow("urn:ietf:params:oauth:grant-type:mobile_auth");
    });

// 移动端简化流程
app.MapPost("/connect/mobileauth", async (MobileAuthRequest request) => {
    var result = await _interaction.GrantCustomGrantAsync(
        request.DeviceId,
        "urn:ietf:params:oauth:grant-type:mobile_auth",
        new[] { "openid", "profile" });
    
    return result.IsError 
        ? Results.BadRequest(result.Error) 
        : Results.Ok(result.AccessToken);
});

7.2 深度链接处理

// 自定义URI方案处理
app.MapGet("/applink/{token}", async (string token) => {
    var result = await _tokenValidator.ValidateTokenAsync(token);
    
    if (!result.IsValid)
        return Results.Redirect("/error/invalid-token");
    
    var principal = result.Principal;
    await _signInManager.SignInAsync(principal, null, "MobileAuth");
    
    return Results.Redirect("/mobile/home");
});

八、升级与迁移策略

8.1 从旧版迁移

// 兼容旧版令牌
services.AddOpenIddict()
    .AddServer(options => {
        options.AcceptUnsignedTokens(); // 过渡期临时方案
        options.AddIssuer("legacy", "https://old-auth-server.com");
    });

// 自定义令牌转换器
services.AddTransient<ILegacyTokenConverter, JwtTokenConverter>();

8.2 零停机部署方案

// 双证书滚动更新
services.AddOpenIddict()
    .AddServer(options => {
        options.AddSigningCertificate(oldCert);
        options.AddSigningCertificate(newCert);
        
        options.SetIssuer(new Uri("https://new-auth-server.com"));
        options.RegisterClaims("legacy_iss", "legacy_sub");
    });

本实现方案涵盖了从基础配置到企业级应用的所有关键环节，建议根据实际业务需求进行适当调整。生产环境部署前应进行完整的安全审计和性能测试。