如何让IdentityServer4通过Auth0认证后自行签发用户AccessToken？

我基于IdentityServer4搭建身份服务，打算把用户认证环节外包给Auth0（借助其SSO能力），由IdentityServer4自行处理用户与机器的授权（包括Claims和Scopes）。目前机器端已经通过Client Credentials模式成功完成认证，但用户通过Auth0登录后获取的是Auth0签发的AccessToken——我已经将Auth0配置为外部身份提供商，现在希望改为获取IdentityServer4签发的AccessToken，请问这个需求是否可行？如果可行，该怎么实现？

现有代码示例 #

机器端Client Credentials模式认证配置

public static IEnumerable<Client> Clients =>
    new List<Client>
    {
        new Client
        {
            ClientId = "client",

            // 无交互用户，使用clientid/secret认证
            AllowedGrantTypes = GrantTypes.ClientCredentials,

            // 认证密钥
            ClientSecrets =
            {
                new Secret("secret".Sha256())
            },

            // 客户端可访问的Scope
            AllowedScopes = { "api1" }
        }
    };

Auth0作为外部身份提供商的配置

services.AddAuthentication(options =>
    {
        options.DefaultAuthenticateScheme = CookieAuthenticationDefaults.AuthenticationScheme;
        options.DefaultSignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;
        options.DefaultChallengeScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    })
    .AddCookie()
    .AddOpenIdConnect("Auth0", options => {
        options.Authority = "auth0domain";
        options.ClientId = "clientId";
        options.ClientSecret = "secret";
        // 其他省略配置
    });

你要实现的是**外部身份认证（Auth0）+本地授权令牌签发（IdentityServer4）**的架构，完全符合IdentityServer4的设计能力，具体实现步骤如下：

1. 调整IdentityServer4的客户端配置 #

针对用户端的交互式应用（比如前端SPA、MVC应用），需要新增/修改一个支持Authorization Code Flow（推荐搭配PKCE增强安全性）的Client配置，适配交互式登录场景：

new Client
{
    ClientId = "user-facing-client",
    ClientName = "用户端应用",
    AllowedGrantTypes = GrantTypes.Code,
    RequirePkce = true, // SPA等公开客户端必须开启
    RequireClientSecret = false, // 公开客户端无需密钥
    RedirectUris = { "https://your-client-app/callback" }, // 客户端回调地址
    PostLogoutRedirectUris = { "https://your-client-app/logout-callback" },
    AllowedScopes = { 
        "openid", 
        "profile", 
        "api1" // 你要授权的API Scope
    },
    AllowOfflineAccess = true, // 需要刷新令牌则开启
    AccessTokenLifetime = 3600 // 令牌有效期，按需设置
}

2. 修正IdentityServer4对接Auth0的外部IDP配置 #

调整OpenID Connect配置，确保IdentityServer4能正确将Auth0作为外部身份源，并完成Claims映射：

services.AddAuthentication()
    .AddCookie(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddOpenIdConnect("Auth0", options =>
    {
        options.Authority = "https://your-auth0-domain/";
        options.ClientId = "your-auth0-client-id";
        options.ClientSecret = "your-auth0-client-secret";
        options.ResponseType = "code";
        options.Scope.Clear();
        options.Scope.Add("openid");
        options.Scope.Add("profile");
        options.Scope.Add("email");
        
        // 映射Auth0返回的Claims到IdentityServer4标准Claims
        options.ClaimActions.MapJsonKey("sub", "sub");
        options.ClaimActions.MapJsonKey("name", "name");
        options.ClaimActions.MapJsonKey("email", "email");
        
        options.SaveTokens = true;
        options.GetClaimsFromUserInfoEndpoint = true;
        
        // 回调地址需在Auth0控制台配置
        options.CallbackPath = new PathString("/signin-auth0");
        options.SignedOutCallbackPath = new PathString("/signout-callback-auth0");
    });

// 将Auth0添加到IdentityServer4的身份源
services.AddIdentityServer()
    .AddInMemoryClients(Clients)
    .AddInMemoryApiScopes(new List<ApiScope> { new ApiScope("api1") })
    .AddInMemoryIdentityResources(new List<IdentityResource> {
        new IdentityResources.OpenId(),
        new IdentityResources.Profile()
    })
    .AddAuthentication();

3. 实现IdentityServer4的登录逻辑 #

在IdentityServer4的AccountController中，处理触发Auth0登录的逻辑：

[HttpGet]
public IActionResult Login(string returnUrl)
{
    // 引导用户到Auth0进行认证
    var props = new AuthenticationProperties { RedirectUri = returnUrl };
    return Challenge(props, "Auth0");
}

4. 验证令牌签发流程 #

1. 用户通过客户端应用跳转至IdentityServer4的授权端点（/connect/authorize）
2. IdentityServer4引导用户跳转到Auth0的登录页面
3. 用户完成Auth0认证后，回调至IdentityServer4的/signin-auth0端点
4. IdentityServer4基于Auth0返回的用户信息创建本地身份
5. 用户完成授权同意后，IdentityServer4签发自己的AccessToken给客户端
6. 客户端使用该AccessToken访问你的API资源

关键注意事项 #

• 确保Auth0控制台中已配置IdentityServer4的回调地址（/signin-auth0）
• 根据客户端类型（公开/机密）调整Client配置的RequirePkce和RequireClientSecret参数
• 可通过IClaimsService自定义IdentityServer4签发令牌时包含的Claims，满足个性化授权需求

内容的提问来源于stack exchange，提问作者verlic