我的第一个微服务系列（三）：搭建IdentityServer服务器
本篇介绍如何通过IdentityServer服务器调用User.Api来验证用户信息。
新建User.Identity项目，引入Nuget包：IdentityServer4，关于IdentityServer4的相关知识可以参考另一篇博文：https://www.cnblogs.com/jesen1315/p/11427294.html 。
在此项目中，将使用手机号和验证码来作为注册或登录验证的判断，这需要调用到User.Api项目来判断，如果该手机号未注册，则自动完成注册。User.Identity 将通过网关来访问，所有的外部访问请求需要先从User.Identity获取token后再发起，也就是说所有的请求都是经过网关再转发到对应的Api中。
因此，我们需要自定义我们的GrantType，而IdentityServer4中自定义GrantType需要实现 IExtensionGrantValidator 接口。所以先来定义实现IExtensionGrantValidator的类SmsAuthCodeValidator，代码如下：
using System; using System.Collections.Generic; using System.Linq; using System.Security.Claims; using System.Threading.Tasks; using IdentityServer4.Models; using IdentityServer4.Validation; using User.Identity.Services; namespace User.Identity.Authentication { /// <summary> /// 自定义验证码授权验证 /// </summary> public class SmsAuthCodeValidator : IExtensionGrantValidator { private readonly IUserService _userService; private readonly IAuthCodeService _authCodeService; public SmsAuthCodeValidator(IAuthCodeService authCodeService ,IUserService userService) { _authCodeService = authCodeService; _userService = userService; } public string GrantType => "sms_auth_code"; //http 请求时的granttype public async Task ValidateAsync(ExtensionGrantValidationContext context) { var phone = context.Request.Raw["phone"]; var code = context.Request.Raw["auth_code"]; var errorValidationResult = new GrantValidationResult(TokenRequestErrors.InvalidGrant); if(string.IsNullOrWhiteSpace(phone) || string.IsNullOrWhiteSpace(code)) { context.Result = errorValidationResult; return; } // 检查验证码 if (!_authCodeService.Validate(phone, code)) { context.Result = errorValidationResult; return; } // 用户注册 var userInfo = await _userService.CheckOrCreateAsync(phone); if (userInfo == null) { context.Result = errorValidationResult; return; } var claims = new Claim[] { new Claim("name",userInfo.Name??string.Empty), new Claim("company",userInfo.Company??string.Empty), new Claim("title",userInfo.Title??string.Empty), new Claim("avatar",userInfo.Avatar??string.Empty), }; context.Result = new GrantValidationResult(userInfo.Id.ToString(), GrantType,claims); } } }
默认情况下，IdentityServer只能从认证（authentication）Cookie中获取保存的claims信息。但是将用户的所有可用的信息都保存到Cookie中很显然是不现实的，也是一种不好的实践，所以，IdentityServer定义了一个可扩展的接口，允许动态的加载用户的Claim，这个接口就是IProfileService。开发人员通常实现此接口来访问包含用户数据（claims）的自定义数据库或API。IdentityServer4会在每次请求User信息的时候调用实现了IProfileService的类中的GetProfileDataAsync方法，而IProfileService的另一个方法IsActiveAsync，则使用来确定用户是否有效或激活状态。
因此，我们还需要定义一个实现IProfileService的类ProfileService。
using IdentityServer4.Models; using IdentityServer4.Services; using System; using System.Collections.Generic; using System.Linq; using System.Threading.Tasks; namespace User.Identity.Authentication { public class ProfileService : IProfileService { public Task GetProfileDataAsync(ProfileDataRequestContext context) { var subject = context.Subject ?? throw new ArgumentNullException(nameof(context.Subject)); var subjectId = subject.Claims.Where(x => x.Type == "sub").FirstOrDefault().Value; if(!int.TryParse(subjectId,out int intUserId)) { throw new ArgumentException("Invalid subject identifier"); } context.IssuedClaims = context.Subject.Claims.ToList(); return Task.CompletedTask; } public Task IsActiveAsync(IsActiveContext context) { var subject = context.Subject ?? throw new ArgumentNullException(nameof(context.Subject)); var subjectId = subject.Claims.Where(x => x.Type == "sub").FirstOrDefault().Value; context.IsActive = int.TryParse(subjectId, out int intUserId); return Task.CompletedTask; } } }
完成这两步之后，在之前介绍IdentityServer4的时候知道需要配置Client、IdentityResource、ApiResource来授予受信任的客户端获取信息。
using IdentityServer4; using IdentityServer4.Models; using System; using System.Collections.Generic; using System.Linq; using System.Threading.Tasks; namespace User.Identity { public class Config { public static IEnumerable<Client> GetClients() { return new List<Client> { new Client() { ClientId ="android", ClientSecrets = new List<Secret> { new Secret("secret".Sha256()) }, RefreshTokenExpiration = TokenExpiration.Sliding, AllowOfflineAccess = true, RequireClientSecret = false, AllowedGrantTypes = new List<string>{"sms_auth_code"}, AlwaysIncludeUserClaimsInIdToken = true, AllowedScopes =new List<string> { "gateway_api", "contact_api", "user_api", "project_api", "recommend_api", IdentityServerConstants.StandardScopes.OfflineAccess, IdentityServerConstants.StandardScopes.OpenId, IdentityServerConstants.StandardScopes.Profile } } }; } public static IEnumerable<IdentityResource> GetIdentityResources() { return new List<IdentityResource> { new IdentityResources.OpenId(), new IdentityResources.Profile(), }; } public static IEnumerable<ApiResource> GetApiResources() { return new List<ApiResource> { new ApiResource("gateway_api","User Service"), new ApiResource("contact_api","contact Service"), new ApiResource("user_api","User Service"), new ApiResource("project_api","Project Service"), new ApiResource("recommend_api","Recommend Service") }; } } }
到此，关于IdentityServer的配置基本完成，接下来要做的是如何在User.Identity项目中跨服务调用User.Api项目来验证用户合法性。普通的方式我们是在配置文件中配置User.Api的Url后再代码中使用HttpClient或HttpWebRequest直接调用来验证，但是这种方式在微服务中已经不再适用，因为微服务中User.Api可能部署的不只一台而是多台，这个时候就需要引入服务注册和发现这种机制来解决，我们下篇再来讨论。
