将身份管理迁移至第三方IDP并构建OIDC令牌转换服务的技术问询

1. 该设计的潜在安全漏洞 #

• 令牌转换环节的信任风险：新增的内部身份转换服务作为中间层，必须严格校验第三方IDP颁发令牌的签名、过期时间、受众（Audience）等核心字段，若校验逻辑不严谨，可能接受伪造或篡改的第三方令牌，进而生成非法内部业务令牌。
• 自定义声明的完整性问题：转换第三方令牌中的自定义业务声明时，要避免直接映射不可信字段，同时确保声明在传递过程中未被篡改，防止恶意用户通过第三方IDP的配置漏洞注入非法声明。
• 令牌生命周期不一致风险：内部业务令牌的生命周期需与第三方源令牌绑定，比如设置更短过期时间、同步源令牌失效状态，否则可能出现第三方身份已注销，但内部令牌仍可使用的权限泄露问题。
• 中间层的攻击面风险：转换服务是内部身份验证的核心依赖，若被攻陷，攻击者可直接生成任意内部业务令牌，需对其做严格访问控制（仅允许内部应用调用）、日志审计和高可用部署。

2. 利用现有框架工具实现方案的可行路径 #

无需依赖付费产品，基于现有开源框架和原生组件即可实现：

• ASP.NET Core原生组件对接第三方IDP：在转换服务中配置AddOpenIdConnect中间件，完成与第三方IDP的授权码流程对接，负责验证第三方颁发的令牌，获取用户身份信息与声明。
• 自定义JWT生成逻辑：借助ASP.NET Core的JwtSecurityTokenHandler类，自行实现内部业务令牌生成——从第三方令牌提取必要声明，补充内部业务自定义声明，用非对称密钥（如RSA）对令牌签名。
• 模拟OIDC标准端点（可选）：手动实现/.well-known/openid-configuration等OIDC规范端点，返回令牌端点、签名密钥等配置信息，让内部应用通过标准OIDC客户端库对接。
• 开源轻量替代方案：使用Duende IdentityServer社区版（免费开源），将第三方IDP配置为外部身份提供者，同时自定义令牌生成逻辑，快速搭建符合需求的内部身份转换服务。

内容的提问来源于stack exchange，提问作者daniefer