关于Pac4j(http4s-pac4j)中SecurityFilterMiddleware结合OIDC与AnonymousClient的配置问题

核心逻辑 #

要实现你的需求，关键在于避免使用默认OIDC授权器的强制跳转逻辑，转而通过SecurityFilterMiddleware的自定义事件手动处理认证状态：先检查请求中是否存在已通过OIDC认证的用户标识，存在则构建登录用户的Profile；不存在则生成匿名Profile，同时标记认证成功（防止被判定为认证失败）。

具体实现步骤 #

1. 定义统一的Profile类型

先创建通用的Profile类，统一处理登录用户和匿名用户的信息：

public class AppProfile
{
    public bool IsAuthenticated { get; set; }
    public string? UserId { get; set; }
    public string? DisplayName { get; set; }
    // 可根据业务需求添加角色、权限等其他属性
}

2. 配置SecurityFilterMiddleware

在中间件配置中禁用自动跳转行为，自定义认证逻辑：

app.UseSecurityFilterMiddleware(options =>
{
    // 核心：禁止未认证时自动跳转到OIDC登录页
    options.AuthenticationOptions.ChallengeBehavior = ChallengeBehavior.NoAction;

    // 自定义认证处理逻辑
    options.Events.OnAuthenticationAsync = async context =>
    {
        var httpContext = context.HttpContext;
        AppProfile profile;

        // 检查是否存在已通过OIDC认证的用户
        if (httpContext.User.Identity?.IsAuthenticated == true)
        {
            // 从OIDC Claims中提取信息，构建登录用户Profile
            profile = new AppProfile
            {
                IsAuthenticated = true,
                UserId = httpContext.User.FindFirst(ClaimTypes.NameIdentifier)?.Value,
                DisplayName = httpContext.User.FindFirst(ClaimTypes.Name)?.Value
            };
        }
        else
        {
            // 构建匿名Profile，可分配唯一ID用于会话追踪
            profile = new AppProfile
            {
                IsAuthenticated = false,
                UserId = Guid.NewGuid().ToString("N")
            };
        }

        // 将Profile存入请求上下文，供后续GraphQL使用
        httpContext.Items["AppProfile"] = profile;
        // 标记认证成功，避免被判定为认证失败
        context.AuthenticationResult = AuthenticationResult.Success();
    };
});

3. 关联GraphQL上下文

将请求上下文里的Profile传递到GraphQL请求上下文中，方便Resolver获取：

builder.Services.AddGraphQLServer()
    .AddQueryType<Query>()
    .AddAuthorization()
    .AddHttpRequestInterceptor(async (context, request, ct) =>
    {
        if (context.HttpContext.Items.TryGetValue("AppProfile", out var profileObj) && profileObj is AppProfile profile)
        {
            // 将Profile存入GraphQL请求属性
            request.Properties["AppProfile"] = profile;
        }
    });

4. GraphQL查询的权限控制

在Resolver中通过全局状态获取Profile，实现不同权限逻辑：

public class Query
{
    // 公开查询：所有用户（含匿名）均可访问
    public string Greet([GlobalState("AppProfile")] AppProfile profile)
    {
        return profile.IsAuthenticated 
            ? $"你好，{profile.DisplayName}！" 
            : "你好，匿名用户！";
    }

    // 受保护查询：仅登录用户可访问
    [Authorize(Policy = "AuthenticatedOnly")]
    public string GetUserInfo([GlobalState("AppProfile")] AppProfile profile)
    {
        return $"用户ID：{profile.UserId}，用户名：{profile.DisplayName}";
    }
}

5. 自定义授权策略（可选）

如果需要更灵活的权限控制，可自定义授权策略：

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("AuthenticatedOnly", policy =>
    {
        policy.RequireAssertion(context =>
        {
            var profile = context.HttpContext.Items["AppProfile"] as AppProfile;
            return profile?.IsAuthenticated == true;
        });
    });
});

关键注意事项 #

• 必须设置ChallengeBehavior.NoAction，否则未登录时会强制跳转到OIDC认证页面
• 自定义认证逻辑中必须返回AuthenticationResult.Success()，即使是匿名用户，否则请求会被判定为认证失败
• 匿名Profile的唯一ID可根据业务需求调整（比如从Cookie读取，实现匿名用户会话保持）

内容的提问来源于stack exchange，提问作者Windymelt