Duende IdentityServer多客户端基于角色的登录权限控制问题

我正在配置Duende IdentityServer，目前拥有多个客户端（例如mobileAppCustomer、mobileAppBusiness），已成功为用户的访问令牌添加角色声明。

我希望实现：当用户尝试登录mobileAppCustomer客户端，但缺少对应的roleMobileAppCustomer角色权限时，登录流程终止并返回401状态码。

但这并非标准行为，我尝试使用Authorize Interaction Response Generator实现，虽然登录流程被终止，但用户仍处于会话登录状态，且登录UI未收到未授权提示。请问是否有人解决过该问题，或有实现思路？

我的实现代码如下：

protected override async Task<InteractionResponse> ProcessLoginAsync(ValidatedAuthorizeRequest request)
{
    var user = request.Subject;

    // 检查用户是否已认证
    if (user == null || !user.Identity.IsAuthenticated)
    {
        return await base.ProcessLoginAsync(request);
    }

    var clientId = request.Client.ClientId;

    // 检查用户是否拥有所需角色
    if (_clientRoleConfig != null && _clientRoleConfig.TryGetValue(clientId, out var requiredRoles))
    {
        var userRoles = user.FindAll(JwtClaimTypes.Role).Select(r => r.Value);

        if (!userRoles.Any(r => requiredRoles.Contains(r)))
        {
            // 返回错误信息
            return new InteractionResponse
            {
                Error = OidcConstants.AuthorizeErrors.AccessDenied,
                ErrorDescription = "User does not have the required role for this client."
            };
        }
    }

    return await base.ProcessLoginAsync(request);
}

实现思路与解决方案 #

1. 清理用户会话状态 #

当前代码仅终止了授权流程，但未清理已存在的用户会话。在返回拒绝响应前，需主动终止当前用户的IdentityServer会话：

if (!userRoles.Any(r => requiredRoles.Contains(r)))
{
    // 终止当前用户的IdentityServer cookie会话
    await HttpContext.SignOutAsync(IdentityServerConstants.DefaultCookieAuthenticationScheme);
    
    return new InteractionResponse
    {
        Error = OidcConstants.AuthorizeErrors.AccessDenied,
        ErrorDescription = "用户没有该客户端所需的角色权限。"
    };
}

2. 让登录UI捕获错误提示 #

Duende IdentityServer返回AccessDenied错误后，需要在登录页面逻辑中处理错误参数：

• 在登录页面的后端逻辑或前端代码中，检查请求URL中的error和error_description参数，当检测到access_denied时，展示对应的提示信息。
• 若需要更自定义的错误页面，可直接重定向到自定义页面并携带错误信息：

return new InteractionResponse
{
    RedirectUrl = $"/Account/AccessDenied?error={Uri.EscapeDataString(OidcConstants.AuthorizeErrors.AccessDenied)}&error_description={Uri.EscapeDataString("用户没有该客户端所需的角色权限。")}",
    Mode = InteractionResponseMode.Redirect
};

在AccessDenied页面的后端代码中，设置响应状态码为401：

HttpContext.Response.StatusCode = StatusCodes.Status401Unauthorized;

3. 优化权限配置逻辑 #

可以将客户端与角色的映射直接整合到Duende的客户端配置中，避免单独维护_clientRoleConfig：

// 客户端配置示例
new Client
{
    ClientId = "mobileAppCustomer",
    // 其他客户端配置...
    Properties = new Dictionary<string, string>
    {
        { "RequiredRoles", "roleMobileAppCustomer" }
    }
};

然后在ProcessLoginAsync中读取该配置：

if (request.Client.Properties.TryGetValue("RequiredRoles", out var requiredRolesStr))
{
    var requiredRoles = requiredRolesStr.Split(',', StringSplitOptions.RemoveEmptyEntries);
    var userRoles = user.FindAll(JwtClaimTypes.Role).Select(r => r.Value);
    
    if (!userRoles.Intersect(requiredRoles).Any())
    {
        await HttpContext.SignOutAsync(IdentityServerConstants.DefaultCookieAuthenticationScheme);
        return new InteractionResponse
        {
            Error = OidcConstants.AuthorizeErrors.AccessDenied,
            ErrorDescription = "用户没有该客户端所需的角色权限。"
        };
    }
}

内容的提问来源于stack exchange，提问作者Tobi