netcore苹果登陆后端验证Sign In With Apple

　　2020年4月之后，上架App Store得应用必须集成apple账号得登录。

　　近期博主刚好配合前端IOS集成apple登录，网上找了不少文章教程，发现基本都是网页集成登录或者是java代码，比较少纯后端net验证,期间也走了不少弯路，在这分享给大家实现思路和需要得注意事项。

　　文章开始前先说明一下此文环境为netcore3.1环境代码编写，IOS相关配置和文章请参考文末链接。

　　整体思路为：前端调用苹果接口获取到userID和authorizationCode,后端通过authorizationCode调用苹果接口验证，若检验成功会返回相关信息；

　　以下为apple官方接口文档说明：https://developer.apple.com/documentation/sign_in_with_apple/generate_and_validate_tokens

　　根据文档可知，调用授权码验证需要传递6个参数，其中3个必填client_id，client_secret和grant_type。

　　client_id和client_secret为apple验证请求方是否合法，client_secret得生成也本文得重点讲解。

　　grant_type  我理解为操作方式，固定为验证授权码authorization_code和刷新token refresh_token，因为我们是验证授权码，所以只需传递authorization_code

　　这里注意Content-Type: application/x-www-form-urlencoded,若使用postman工具尝试请求Body请记得选x-www-form-urlencoded，否则请求格式失败必定“invalid_client”；

　　先说请求的几种错误的返回格式：

　　

返回	原因
invalid_client	client_id或client_secret错误，请复制下面代码生成
invalid_grant	authorization_code 授权码错误，可以去怼前端了
unsupported_grant_type	grant_type错误，嗯请固定authorization_code，别问我为什么知道，当然是特意去请求尝试给你们看的啦

 

　　

说了这么多先贴一下请求代码：

只要成功返回，解析返回值的IdToken，jwt解析第二段验证Aud和clientId，Sub与userID一致即可：

/// <summary>
        /// 检验生成的授权码是正确的，需要给出正确的授权码
        /// </summary>
        /// <param name="authorizationCode">授权码</param>
        /// <param name="appUserId">apple用户ID</param>
        /// <returns></returns>
        public async Task TestAppleSign(string authorizationCode, string appUserId)
        {
            var httpClientHandler = new HttpClientHandler
            {
                ServerCertificateCustomValidationCallback = (message, certificate2, arg3, arg4) => true
            };
            var httpClient = new HttpClient(httpClientHandler, true)
            {
                //超时时间设置长一点点，有时候响应超过3秒，根据情况设置
                //我这里是单元测试，防止异常所以写30秒
                Timeout = TimeSpan.FromSeconds(30)
            };
            var newToken = CreateNewClientSecret();
            var clientId = "bundleId";//找IOS要 
            var datas = new Dictionary<string, string>()
            {
                {"client_id", clientId},  
                {"grant_type", "authorization_code"},//固定authorization_code
                {"code",authorizationCode },//授权码，前端验证登录给予 
                {"client_secret",newToken} //client_secret，后面方法生成
            };
            //x-www-form-urlencoded 使用FormUrlEncodedContent
            var formdata = new FormUrlEncodedContent(datas);
            var result = await httpClient.PostAsync("https://appleid.apple.com/auth/token", formdata);
            var re = await result.Content.ReadAsStringAsync();
            if (result.IsSuccessStatusCode)
            {
                var deserializeObject = JsonConvert.DeserializeObject<TokenResult>(re);
                var jwtPlayload = DecodeJwtPlayload(deserializeObject.IdToken);
                if (!jwtPlayload.Aud.Equals(clientId) || !jwtPlayload.Sub.Equals(appUserId))//appUserId，前端验证登录给予 
                {

                }
            }
            else
            {
                //请根据re的返回值，查看上面的错误表格
            }
        }

 

 

 

　　生成ClientSecret代码如下：需要注意的是IssuedAt和NotBefore时间需要留些余地，我就是在windos开发成功，部署到服务器环境后一致报invalid_client，之前发生过加密错误，还以为又是加密方式导致，经过一段时间的排除后发现是时间的坑

　　　　  public static string CreateNewClientSecret()
        {
            var handler = new JwtSecurityTokenHandler();
            var subject = new Claim("sub", "bundleId");//找IOS要 
            var tokenDescriptor = new SecurityTokenDescriptor()
            {
                Audience = "https://appleid.apple.com",//固定值
                Expires = DateTime.Now.AddMonths(5),//ClientSecret超时时间，可以设置长一点，也可以根据需要设置有效时间
                Issuer = "team ID",//team ID,找IOS要
                //防止服务器时间比apple时间晚
                //签发时间
                IssuedAt = DateTime.Now.AddDays(-1),
                //防止服务器时间比apple时间晚
                //生效时间
                NotBefore = DateTime.Now.AddDays(-1),
                Subject = new ClaimsIdentity(new[] { subject }),
            };
            byte[] keyBlob = GetPrivateKeyBytesAsync();
            var algorithm = CreateAlgorithm(keyBlob);
            {
                tokenDescriptor.SigningCredentials = CreateSigningCredentials("KeyID", algorithm);//p8私钥文件得Key，找IOS要

                var clientSecret = handler.CreateEncodedJwt(tokenDescriptor);

                return clientSecret;
            }
        }
        public static byte[] GetPrivateKeyBytesAsync()
        {
            //p8文件内容
            string content = @"-----BEGIN PRIVATE KEY-----
            ********************************
            *******************************
            ***********************************
            *************
                ---- - END -----";

            if (content.StartsWith("-----BEGIN PRIVATE KEY-----", StringComparison.Ordinal))
            {
                string[] keyLines = content.Split('\n');
                content = string.Join(string.Empty, keyLines.Skip(1).Take(keyLines.Length - 2));
            }
            
            return Convert.FromBase64String(content);
        }
        private static ECDsa CreateAlgorithm(byte[] keyBlob)
        {
            var algorithm = ECDsa.Create();

            try
            {
                algorithm.ImportPkcs8PrivateKey(keyBlob, out int _);
                return algorithm;
            }
            catch (Exception)
            {
                algorithm?.Dispose();
                throw;
            }
        }
        private static SigningCredentials CreateSigningCredentials(string keyId, ECDsa algorithm)
        {
            var key = new ECDsaSecurityKey(algorithm) { KeyId = keyId };
            return new SigningCredentials(key, SecurityAlgorithms.EcdsaSha256Signature);
        }

只要成功返回，解析返回值的IdToken，jwt解析第二段验证Aud和clientId，Sub与userID一致即可,附反序列化返回值和jwt解析：

　　

 /// <summary>
        /// 解析jwt第二部分
        /// </summary>
        /// <param name="jwtString"></param>
        /// <returns></returns>
        private JwtPlayload DecodeJwtPlayload(string jwtString)
        {
            try
            {
                var code = jwtString.Split('.')[1];
                code = code.Replace('-', '+').Replace('_', '/').PadRight(4 * ((code.Length + 3) / 4), '=');
                var bytes = Convert.FromBase64String(code);
                var decode = Encoding.UTF8.GetString(bytes);
                return JsonConvert.DeserializeObject<JwtPlayload>(decode);
            }
            catch (Exception e)
            {
                throw new Exception(e.Message);
            }
        }
        /// <summary>
        /// 接口返回值
        /// </summary>
        public class TokenResult
        {
            /// <summary>
            /// 一个token
            /// </summary>
            [JsonProperty("access_token")]
            public string AccessToken { get; set; }
            /// <summary>
            /// Bearer
            /// </summary>
            [JsonProperty("token_type")]
            public string TokenType { get; set; }
            /// <summary>
            /// 
            /// </summary>
            [JsonProperty("expires_in")]
            public long ExpiresIn { get; set; }
            /// <summary>
            /// 一个token
            /// </summary>
            [JsonProperty("refresh_token")]
            public string RefreshToken { get; set; }
            /// <summary>
            /// "结果是JWT，字符串形式，identityToken 解析后和客户端端做比对
            /// </summary>
            [JsonProperty("id_token")]
            public string IdToken { get; set; }
        }
        /// <summary>
        /// jwt第二部分
        /// </summary>
        private class JwtPlayload
        {
            /// <summary>
            /// "https://appleid.apple.com"
            /// </summary>
            [JsonProperty("iss")]
            public string Iss { get; set; }
            /// <summary>
            /// 这个是你的app的bundle identifier
            /// </summary>
            [JsonProperty("aud")]
            public string Aud { get; set; }
            /// <summary>
            /// 
            /// </summary>
            [JsonProperty("exp")]
            public long Exp { get; set; }
            /// <summary>
            /// 
            /// </summary>
            [JsonProperty("iat")]
            public long Iat { get; set; }
            /// <summary>
            /// 用户ID
            /// </summary>
            [JsonProperty("sub")]
            public string Sub { get; set; }
            /// <summary>
            /// 
            /// </summary>
            [JsonProperty("at_hash")]
            public string AtHash { get; set; }
            /// <summary>
            /// 
            /// </summary>
            [JsonProperty("email")]
            public string Email { get; set; }
            /// <summary>
            /// 
            /// </summary>
            [JsonProperty("email_verified")]
            public bool EmailVerified { get; set; }
            /// <summary>
            /// 
            /// </summary>
            [JsonProperty("is_private_email")]
            public bool IsPrivateEmail { get; set; }
            /// <summary>
            /// 
            /// </summary>
            [JsonProperty("auth_time")]
            public long AuthTime { get; set; }
            /// <summary>
            /// 
            /// </summary>
            [JsonProperty("nonce_supported")]
            public bool NonceSupported { get; set; }
        }
        

 

 

 

 

　　下面得生成client_secret方式是由文章参考而来：https://www.scottbrady91.com/OpenID-Connect/Implementing-Sign-In-with-Apple-in-ASPNET-Core

　　但是这个方式只适用于windos，使用容器方式部署到linux时发现CnKey加密方式会报平台错误，若只在windos部署可直接使用该方式

public static string CreateNewToken()
    {
        const string iss = "62QM29578N"; // your account's team ID found in the dev portal
        const string aud = "https://appleid.apple.com";
        const string sub = "com.scottbrady91.authdemo.service"; // same as client_id
        const string privateKey = "MIGTAgEAMBMGByqGSM49AgEGCCqGSM49AwEHBHkwdwIBAQQgnbfHJQO9feC7yKOenScNctvHUP+Hp3AdOKnjUC3Ee9GgCgYIKoZIzj0DAQehRANCAATMgckuqQ1MhKALhLT/CA9lZrLA+VqTW/iIJ9GKimtC2GP02hCc5Vac8WuN6YjynF3JPWKTYjg2zqex5Sdn9Wj+"; // contents of .p8 file
        
        var cngKey = CngKey.Import(
          Convert.FromBase64String(privateKey), 
          CngKeyBlobFormat.Pkcs8PrivateBlob);
        
        var handler = new JwtSecurityTokenHandler();
        var token = handler.CreateJwtSecurityToken(
            issuer: iss,
            audience: aud,
            subject: new ClaimsIdentity(new List<Claim> {new Claim("sub", sub)}),
            expires: DateTime.UtcNow.AddMinutes(5), // expiry can be a maximum of 6 months
            issuedAt: DateTime.UtcNow,
            notBefore: DateTime.UtcNow,
            signingCredentials: new SigningCredentials(
              new ECDsaSecurityKey(new ECDsaCng(cngKey)), SecurityAlgorithms.EcdsaSha256));

        return handler.WriteToken(token);
    }

 

2021.1.12 经12楼同学反馈

redirect_uri可以为空， 我没传递redirect_uri参数可以正常认证，他没传递会导致invalid_client，所以他就随意传递了一个值导致正常的授权码一直返回invalid_grant，补充一下给其他出错的同学参考。

 

 

参考资料：

IOS授权全教程：https://blog.csdn.net/WangErice/article/details/104823811?depth_1-utm_source=distribute.pc_relevant.none-task-blog-BlogCommendFromBaidu-11&utm_source=distribute.pc_relevant.none-task-blog-BlogCommendFromBaidu-11

　　　　　　　  https://www.jianshu.com/p/e1284bd8c72a

苹果授权登陆后端验证：

　　　　　　https://blog.csdn.net/wpf199402076118/article/details/99677412

netcore验证相关文章：

　　　　　　https://www.scottbrady91.com/OpenID-Connect/Implementing-Sign-In-with-Apple-in-ASPNET-Core

　　　　　　https://github.com/aspnet-contrib/AspNet.Security.OAuth.Providers