├── .vscode
└── settings.json
├── LICENSE
├── README.md
├── alipay.jpg
├── wechatpay.jpg
├── 欢迎来到IdentityServer4.md
├── 第一部分 简介
├── 第01章 背景.md
├── 第02章 术语.md
├── 第03章 支持和规范.md
├── 第04章 打包和构建.md
├── 第05章 支持和咨询选项.md
├── 第06章 演示服务器和测试.md
└── 第07章 贡献.md
├── 第三部分 主题
├── 第18章 启动.md
├── 第19章 定义资源.md
├── 第20章 定义客户端.md
├── 第21章 登录.md
├── 第22章 使用外部身份提供商登录.md
├── 第23章 Windows身份验证.md
├── 第24章 退出.md
├── 第25章 退出外部身份提供商.md
├── 第26章 联合注销.md
├── 第27章 联合网关.md
├── 第28章 确认(Consent).md
├── 第29章 保护API.md
├── 第30章 部署.md
├── 第31章 日志.md
├── 第32章 事件.md
├── 第33章 密码学(Cryptography)，密钥(Keys)和HTTPS.md
├── 第34章 授予类型.md
├── 第35章 秘密(secrets).md
├── 第36章 扩展授权.md
├── 第37章 资源所有者密码验证(Resource Owner Password Validation).md
├── 第38章 刷新令牌.md
├── 第39章 引用令牌.md
├── 第40章 自定义令牌请求验证和发布.md
├── 第41章 CORS.md
├── 第42章 发现(discovery).md
├── 第43章 添加更多API端点.md
├── 第44章 添加新协议.md
└── 第45章 工具.md
├── 第二部分 快速入门
├── 第08章 概述.md
├── 第09章 使用客户端凭据保护API.md
├── 第10章 使用密码保护API.md
├── 第11章 使用OpenID Connect添加用户身份验证.md
├── 第12章 添加对外部认证的支持.md
├── 第13章 切换到混合流并添加API访问.md
├── 第14章 添加JavaScript客户端.md
├── 第15章 使用EntityFramework Core进行配置和操作数据.md
├── 第16章 使用ASP.NET Core Identity.md
└── 第17章 社区快速入门和模板.md
├── 第五部分 参考
├── 第54章 身份资源.md
├── 第55章 API资源.md
├── 第56章 Client.md
├── 第57章 GrantValidationResult.md
├── 第58章 Profile Service.md
├── 第59章 IdentityServer交互服务.md
├── 第60章 设备流交互服务.md
├── 第61章 IdentityServer Options.md
├── 第62章 EntityFramework支持.md
└── 第63章 ASP.NET Identity 支持.md
├── 第六部分 其它
├── 第64章 学习.md
├── 第65章 博客帖子.md
└── 第66章 视频.md
└── 第四部分 端点
├── 第46章 发现端点(Discovery Endpoint).md
├── 第47章 授权端点(Authorize Endpoint).md
├── 第48章 UserInfo端点(UserInfo Endpoint).md
├── 第49章 令牌端点(Token Endpoint).md
├── 第50章 设备授权端点(Device Authorization Endpoint).md
├── 第51章 内省端点(Introspection Endpoint).md
├── 第52章 撤销端点(Revocation Endpoint).md
└── 第53章 结束会话端点(End Session Endpoint).md
/.vscode/settings.json:
--------------------------------------------------------------------------------
1 | {
2 | }
--------------------------------------------------------------------------------
/LICENSE:
--------------------------------------------------------------------------------
1 | MIT License
2 |
3 | Copyright (c) 2019 thinksjay
4 |
5 | Permission is hereby granted, free of charge, to any person obtaining a copy
6 | of this software and associated documentation files (the "Software"), to deal
7 | in the Software without restriction, including without limitation the rights
8 | to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
9 | copies of the Software, and to permit persons to whom the Software is
10 | furnished to do so, subject to the following conditions:
11 |
12 | The above copyright notice and this permission notice shall be included in all
13 | copies or substantial portions of the Software.
14 |
15 | THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
16 | IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
17 | FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
18 | AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
19 | LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
20 | OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
21 | SOFTWARE.
22 |
--------------------------------------------------------------------------------
/README.md:
--------------------------------------------------------------------------------
1 | # 欢迎来到IdentityServer4
2 |
3 | **欢迎IdentityServer4**
4 |
5 |
6 |
7 |
6 |
7 |
5 |
6 |
24 |
25 |
52 |
53 |
6 |
7 |
43 |
44 |
45 |
46 |
47 | > **注意**
48 | 通过`returnUrl`参数注意[open-redirect attacks](https://en.wikipedia.org/wiki/URL_redirection#Security_issues)攻击。 您应该验证`returnUrl`是否引用了众所周知的位置。 请参阅API的[交互服务](https://github.com/thinksjay/IdentityServer4/blob/master/%E7%AC%AC%E4%BA%94%E9%83%A8%E5%88%86%20%E5%8F%82%E8%80%83/%E7%AC%AC59%E7%AB%A0%20IdentityServer%E4%BA%A4%E4%BA%92%E6%9C%8D%E5%8A%A1.md)以验证`returnUrl`参数。
49 |
50 | ## 21.5 登录上下文
51 | 在您的登录页面上，您可能需要有关请求上下文的信息，以便自定义登录体验（例如客户端，提示参数，IdP提示或其他内容）。这可以通过[交互服务](https://github.com/thinksjay/IdentityServer4/blob/master/%E7%AC%AC%E4%BA%94%E9%83%A8%E5%88%86%20%E5%8F%82%E8%80%83/%E7%AC%AC59%E7%AB%A0%20IdentityServer%E4%BA%A4%E4%BA%92%E6%9C%8D%E5%8A%A1.md)上的`GetAuthorizationContextAsync` API获得。
52 |
53 | ## 21。6 发行cookie和声明
54 | ASP\.NET Core上的`HttpContext`上有与身份验证相关的扩展方法，用于发出身份验证cookie并对用户进行签名。使用的身份验证方案必须与您正在使用的cookie处理程序匹配（请参见上文）。
55 |
56 | 当您签署用户时，您必须至少发出一个`sub`和一个`name`声明。 IdentityServer还在`HttpContext`上提供了一些`SignInAsync`扩展方法，以使这更方便。
57 |
58 | 您还可以选择发出`idp`声明（针对身份提供者名称），`amr`声明（针对所使用的身份验证方法）和/或`auth_time`声明（针对用户身份验证的纪元时间）。如果您不提供这些，IdentityServer将提供默认值。
--------------------------------------------------------------------------------
/第三部分 主题/第22章 使用外部身份提供商登录.md:
--------------------------------------------------------------------------------
1 | # 第22章 使用外部身份提供商登录
2 | ASP\.NET Core有一种灵活的方式来处理外部身份验证。这涉及几个步骤。
3 |
4 | > **注意**
5 | 如果您使用的是ASP\.NET Identity，则会隐藏许多基础技术细节。建议您还阅读Microsoft [文档](https://docs.microsoft.com/en-us/aspnet/core/security/authentication/social/)并执行ASP\.NET Identity [快速入门](https://github.com/thinksjay/IdentityServer4/blob/master/%E5%BF%AB%E9%80%9F%E5%85%A5%E9%97%A8/%E7%AC%AC16%E7%AB%A0%20%E4%BD%BF%E7%94%A8ASP.NET%20Core%20Identity.md)。
6 |
7 | ## 22.1 为外部提供者添加身份验证处理程序
8 | 与外部提供者通信所需的协议实现封装在身份验证处理程序中。一些提供商使用专有协议（例如Facebook等社交提供商），有些提供商使用标准协议，例如OpenID Connect，WS-Federation或SAML2p。
9 |
10 | 有关添加外部身份验证和配置它的分步说明，请参阅此[快速入门](https://github.com/thinksjay/IdentityServer4/blob/master/%E5%BF%AB%E9%80%9F%E5%85%A5%E9%97%A8/%E7%AC%AC12%E7%AB%A0%20%E6%B7%BB%E5%8A%A0%E5%AF%B9%E5%A4%96%E9%83%A8%E8%AE%A4%E8%AF%81%E7%9A%84%E6%94%AF%E6%8C%81.md)。
11 |
12 | ## 22.2 cookies的作用
13 | 调用外部身份验证处理程序的一个选项`SignInScheme`，例如：
14 |
15 | ``` C#
16 | services.AddAuthentication()
17 | .AddGoogle("Google", options =>
18 | {
19 | options.SignInScheme = "scheme of cookie handler to use";
20 |
21 | options.ClientId = "...";
22 | options.ClientSecret = "...";
23 | })
24 | ```
25 |
26 | 登录方案指定将临时存储外部认证结果的cookie处理程序的名称，例如由外部提供者发送的声明。这是必要的，因为在完成外部身份验证过程之前通常会涉及一些重定向。
27 |
28 | 鉴于这是一种常见做法，IdentityServer专门为此外部提供程序工作流注册cookie处理程序。该方案通过`IdentityServerConstants.ExternalCookieAuthenticationScheme`常数表示。如果您要使用我们的外部cookie处理程序，那么对于`SignInScheme`上面的内容，您将赋值为`IdentityServerConstants.ExternalCookieAuthenticationScheme`常量：
29 |
30 | ``` C#
31 | services.AddAuthentication()
32 | .AddGoogle("Google", options =>
33 | {
34 | options.SignInScheme = IdentityServerConstants.ExternalCookieAuthenticationScheme;
35 |
36 | options.ClientId = "...";
37 | options.ClientSecret = "...";
38 | })
39 | ```
40 |
41 | 您也可以注册自己的自定义cookie处理程序，如下所示：
42 |
43 | ``` C#
44 | services.AddAuthentication()
45 | .AddCookie("YourCustomScheme")
46 | .AddGoogle("Google", options =>
47 | {
48 | options.SignInScheme = "YourCustomScheme";
49 |
50 | options.ClientId = "...";
51 | options.ClientSecret = "...";
52 | })
53 | ```
54 |
55 | > **注意**
56 | 对于特殊情况，您还可以将外部cookie机制短路并将外部用户直接转发到主cookie处理程序。这通常涉及处理外部处理程序上的事件，以确保您从外部标识源执行正确的声明转换。
57 |
58 | ## 22.3 触发认证处理程序
59 | 您可以通过（或使用MVC`ChallengeResult` ）`HttpContext`上的`ChallengeAsync`扩展方法调用外部认证处理程序。
60 |
61 | 您通常希望将一些选项传递给挑战操作，例如回调页面的路径和簿记提供者的名称，例如：
62 |
63 | ``` C#
64 | var callbackUrl = Url.Action("ExternalLoginCallback");
65 |
66 | var props = new AuthenticationProperties
67 | {
68 | RedirectUri = callbackUrl,
69 | Items =
70 | {
71 | { "scheme", provider },
72 | { "returnUrl", returnUrl }
73 | }
74 | };
75 |
76 | return Challenge(provider, props);
77 | ```
78 |
79 | ## 22.4 处理回调并签署用户
80 | 在回调页面上，您的典型任务是：
81 |
82 | * 检查外部提供商返回的身份。
83 | * 决定如何处理该用户。如果这是新用户或返回用户，则可能会有所不同。
84 | * 新用户在被允许之前可能需要额外的步骤和UI。
85 | * 可能会创建一个链接到外部提供程序的新内部用户帐户。
86 | * 存储您要保留的外部声明。
87 | * 删除临时cookie
88 | * 登录用户
89 |
90 | ### 22.4.1 检查外部身份：
91 | ``` C#
92 | // read external identity from the temporary cookie
93 | var result = await HttpContext.AuthenticateAsync(IdentityServerConstants.ExternalCookieAuthenticationScheme);
94 | if (result?.Succeeded != true)
95 | {
96 | throw new Exception("External authentication error");
97 | }
98 |
99 | // retrieve claims of the external user
100 | var externalUser = result.Principal;
101 | if (externalUser == null)
102 | {
103 | throw new Exception("External authentication error");
104 | }
105 |
106 | // retrieve claims of the external user
107 | var claims = externalUser.Claims.ToList();
108 |
109 | // try to determine the unique id of the external user - the most common claim type for that are the sub claim and the NameIdentifier
110 | // depending on the external provider, some other claim type might be used
111 | var userIdClaim = claims.FirstOrDefault(x => x.Type == JwtClaimTypes.Subject);
112 | if (userIdClaim == null)
113 | {
114 | userIdClaim = claims.FirstOrDefault(x => x.Type == ClaimTypes.NameIdentifier);
115 | }
116 | if (userIdClaim == null)
117 | {
118 | throw new Exception("Unknown userid");
119 | }
120 |
121 | var externalUserId = userIdClaim.Value;
122 | var externalProvider = userIdClaim.Issuer;
123 |
124 | // use externalProvider and externalUserId to find your user, or provision a new user
125 | ```
126 |
127 | ### 22.4.2 清理和登录：
128 |
129 | ``` C#
130 | // issue authentication cookie for user
131 | await HttpContext.SignInAsync(user.SubjectId, user.Username, provider, props, additionalClaims.ToArray());
132 |
133 | // delete temporary cookie used during external authentication
134 | await HttpContext.SignOutAsync(IdentityServerConstants.ExternalCookieAuthenticationScheme);
135 |
136 | // validate return URL and redirect back to authorization endpoint or a local page
137 | if (_interaction.IsValidReturnUrl(returnUrl) || Url.IsLocalUrl(returnUrl))
138 | {
139 | return Redirect(returnUrl);
140 | }
141 |
142 | return Redirect("~/");
143 | ```
144 |
145 | ## 22.5 状态，URL长度和ISecureDataFormat
146 | 重定向到外部提供程序进行登录时，必须经常从客户端应用程序进行往返状态。这意味着在离开客户端之前捕获状态并保留状态，直到用户返回到客户端应用程序。许多协议（包括OpenID Connect）允许将某种状态作为参数传递作为请求的一部分，并且身份提供者将在响应上返回该状态。ASP\.NET Core提供的OpenID Connect身份验证处理程序利用协议的这一功能，即它实现上述`returnUrl`功能的方式。
147 |
148 | 在请求参数中存储状态的问题是请求URL可能变得太大（超过2000个字符的公共限制）。OpenID Connect身份验证处理程序确实提供了一个可扩展点，用于在服务器中而不是在请求URL中存储状态。您可以通过`ISecureDataFormat`在[OpenIdConnectOptions](https://github.com/aspnet/AspNetCore/blob/master/src/Security/Authentication/OpenIdConnect/src/OpenIdConnectOptions.cs#L249)上实现和配置它来自行实现。
149 |
150 | 幸运的是，IdentityServer为您提供了一个实现，由`IDistributedCache` DI容器中注册的实现（例如标准`MemoryDistributedCache`）支持。要使用IdentityServer提供的安全数据格式实现，只需在配置DI时调用`IServiceCollection`扩展`AddOidcStateDataFormatterCache`方法。如果未传递任何参数，则配置的所有OpenID Connect处理程序将使用IdentityServer提供的安全数据格式实现：
151 | ``` C#
152 | public void ConfigureServices(IServiceCollection services)
153 | {
154 | // configures the OpenIdConnect handlers to persist the state parameter into the server-side IDistributedCache.
155 | services.AddOidcStateDataFormatterCache();
156 |
157 | services.AddAuthentication()
158 | .AddOpenIdConnect("demoidsrv", "IdentityServer", options =>
159 | {
160 | // ...
161 | })
162 | .AddOpenIdConnect("aad", "Azure AD", options =>
163 | {
164 | // ...
165 | })
166 | .AddOpenIdConnect("adfs", "ADFS", options =>
167 | {
168 | // ...
169 | });
170 | }
171 | ```
172 |
173 | 如果只配置特定方案，则将这些方案作为参数传递：
174 | ``` C#
175 | public void ConfigureServices(IServiceCollection services)
176 | {
177 | // configures the OpenIdConnect handlers to persist the state parameter into the server-side IDistributedCache.
178 | services.AddOidcStateDataFormatterCache("aad", "demoidsrv");
179 |
180 | services.AddAuthentication()
181 | .AddOpenIdConnect("demoidsrv", "IdentityServer", options =>
182 | {
183 | // ...
184 | })
185 | .AddOpenIdConnect("aad", "Azure AD", options =>
186 | {
187 | // ...
188 | })
189 | .AddOpenIdConnect("adfs", "ADFS", options =>
190 | {
191 | // ...
192 | });
193 | }
194 | ```
195 |
--------------------------------------------------------------------------------
/第三部分 主题/第23章 Windows身份验证.md:
--------------------------------------------------------------------------------
1 | # 第23章 Windows身份验证
2 | 在支持的平台上，您可以使用IdentityServer使用Windows身份验证对用户进行身份验证（例如，针对Active Directory）。当前使用以下命令托管IdentityServer时，Windows身份验证可用：
3 |
4 | * [Kestrel](https://docs.microsoft.com/en-us/aspnet/core/fundamentals/servers/kestrel)在Windows上使用IIS和IIS集成包
5 | * Windows上的[HTTP.sys](https://docs.microsoft.com/en-us/aspnet/core/fundamentals/servers/httpsys)服务器
6 |
7 | 在这两种情况下，使用方案`“Windows”`在`HttpContext`上使用`ChallengeAsync` API来触发Windows身份验证。我们的[快速入门UI](https://github.com/IdentityServer/IdentityServer4.Quickstart.UI)中的帐户控制器实现了必要的逻辑。
8 |
9 | ## 23.1 使用 Kestrel
10 | 使用Kestrel时，必须运行“behind”IIS并使用IIS集成：
11 | ``` C#
12 | var host = new WebHostBuilder()
13 | .UseKestrel()
14 | .UseUrls("http://localhost:5000")
15 | .UseContentRoot(Directory.GetCurrentDirectory())
16 | .UseIISIntegration()
17 | .UseStartup()
18 | .Build();
19 | ```
20 |
21 | 使用该`WebHost.CreateDefaultBuilder`方法设置时，会自动配置`WebHostBuilder`。
22 |
23 | IIS（或IIS Express）中的虚拟目录也必须启用Windows并启用匿名身份验证。
24 |
25 | IIS集成层将Windows身份验证处理程序配置为DI，可以通过身份验证服务调用。通常在IdentityServer中，建议禁用此自动行为。这是在`ConfigureServices`：
26 |
27 | ``` C#
28 | services.Configure(iis =>
29 | {
30 | iis.AuthenticationDisplayName = "Windows";
31 | iis.AutomaticAuthentication = false;
32 | });
33 | ```
34 |
35 | > **注意**
36 | 默认情况下，显示名称为空，Windows身份验证按钮不会显示在快速入门UI中。如果依赖于自动发现外部提供程序，则需要设置显示名称。
--------------------------------------------------------------------------------
/第三部分 主题/第24章 退出.md:
--------------------------------------------------------------------------------
1 | # 第24章 退出
2 | 注销IdentityServer就像删除身份验证cookie一样简单，但是为了完成联合注销，我们必须考虑将用户从客户端应用程序（甚至可能是上游身份提供者）中签名。
3 |
4 | ## 24.1 删除认证
5 | 要删除身份验证cookie，只需使用`HttpContext`扩展方法`SignOutAsync`即可。您需要传递使用的方案（`IdentityServerConstants.DefaultCookieAuthenticationScheme`除非您已更改，否则提供此方案）：
6 | ``` C#
7 | await HttpContext.SignOutAsync(IdentityServerConstants.DefaultCookieAuthenticationScheme);
8 | ```
9 |
10 | 或者您可以使用IdentityServer提供的便捷扩展方法：
11 | ``` C#
12 | await HttpContext.SignOutAsync();
13 | ```
14 |
15 | > **注意**
16 | 通常，您应该提示用户注销（需要POST），否则攻击者可能会链接到您的注销页面，导致用户自动注销。
17 |
18 | ## 24.2 通知客户端用户已注销
19 | 作为退出流程的一部分，您需要确保客户端应用程序被告知用户已退出。IdentityServer支持服务器端客户端的[前端通道](https://openid.net/specs/openid-connect-frontchannel-1_0.html)规范（例如MVC），服务器端客户端的[反向通道](https://openid.net/specs/openid-connect-backchannel-1_0.html) 规范（例如MVC），以及基于浏览器的JavaScript客户端的[会话管理](https://openid.net/specs/openid-connect-session-1_0.html)规范（例如SPA，React，Angular）等）。
20 |
21 | ### 24.2.1 前端服务器端客户端
22 |
23 | 要通过前端通道规范从服务器端注销客户端应用程序用户，IdentityServer中的“已注销”页面必须呈现`