如何在现有.NET 6 Web API项目中集成IdentityServer4并迁移至数据库？

1. 安装必要NuGet包 #

在Web API项目中安装以下包：

• IdentityServer4
• IdentityServer4.EntityFramework
• Microsoft.EntityFrameworkCore.Tools（未安装则添加）
• 对应数据库的EF Core驱动（如Microsoft.EntityFrameworkCore.SqlServer）

2. 关联现有数据库上下文 #

方式一：修改现有DbContext #

让你的项目DbContext继承IdentityServerDbContext，保留原有实体：

public class AppDbContext : IdentityServerDbContext
{
    public AppDbContext(DbContextOptions<AppDbContext> options) 
        : base(options)
    {
    }

    // 你的现有实体集合
    public DbSet<YourBusinessEntity> YourBusinessEntities { get; set; }
}

方式二：单独创建IdentityServer专用DbContext #

若不想改动原有DbContext，可新建独立上下文：

public class IdentityServerDbContext : IdentityServerDbContext
{
    public IdentityServerDbContext(DbContextOptions<IdentityServerDbContext> options) 
        : base(options)
    {
    }
}

3. 配置IdentityServer服务 #

在Program.cs中注入IdentityServer服务，指定使用现有数据库：

builder.Services.AddIdentityServer()
    .AddConfigurationStore(options =>
    {
        options.ConfigureDbContext = b => b.UseSqlServer(
            builder.Configuration.GetConnectionString("YourDbConn"),
            sql => sql.MigrationsAssembly(typeof(Program).Assembly.GetName().Name)
        );
    })
    .AddOperationalStore(options =>
    {
        options.ConfigureDbContext = b => b.UseSqlServer(
            builder.Configuration.GetConnectionString("YourDbConn"),
            sql => sql.MigrationsAssembly(typeof(Program).Assembly.GetName().Name)
        );
        // 可选：启用令牌自动清理
        options.EnableTokenCleanup = true;
        options.TokenCleanupInterval = 30;
    })
    .AddDeveloperSigningCredential(); // 生产环境请替换为正式SSL证书

4. 生成并执行数据库迁移 #

打开Package Manager Console，根据使用的DbContext执行命令：

• 若用现有DbContext：

Add-Migration InitIdentityServer -Context AppDbContext
Update-Database -Context AppDbContext

• 若用独立IdentityServerDbContext：

Add-Migration InitIdentityServer -Context IdentityServerDbContext
Update-Database -Context IdentityServerDbContext

5. 初始化IdentityServer基础数据 #

可通过代码初始化API资源、客户端等数据，示例如下：

public static class SeedIdentityData
{
    public static void EnsureSeedData(AppDbContext context)
    {
        // 初始化API资源
        if (!context.ApiResources.Any())
        {
            context.ApiResources.Add(new ApiResource("your_api", "业务API")
            {
                Scopes = { "your_api.full_access", "your_api.read_only" }
            });
        }

        // 初始化客户端
        if (!context.Clients.Any())
        {
            context.Clients.Add(new Client
            {
                ClientId = "web_client",
                AllowedGrantTypes = GrantTypes.ClientCredentials,
                ClientSecrets = { new Secret("client_secret".Sha256()) },
                AllowedScopes = { "your_api.full_access" }
            });
        }

        context.SaveChanges();
    }
}

在Program.cs启动时调用：

using var scope = app.Services.CreateScope();
var dbContext = scope.ServiceProvider.GetRequiredService<AppDbContext>();
SeedIdentityData.EnsureSeedData(dbContext);

6. 保护API端点 #

在Program.cs中添加认证授权中间件，并配置授权策略：

app.UseAuthentication();
app.UseAuthorization();

// 定义授权策略
builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("ApiScope", policy =>
    {
        policy.RequireAuthenticatedUser();
        policy.RequireClaim("scope", "your_api.full_access");
    });
});

// 为API端点应用策略
app.MapControllers().RequireAuthorization("ApiScope");

7. 测试集成 #

用Postman等工具请求令牌，再访问API：

• 令牌请求地址：https://localhost:<端口>/connect/token
• 请求参数：
  • grant_type: client_credentials
  • client_id: web_client
  • client_secret: client_secret
  • scope: your_api.full_access

内容的提问来源于stack exchange，提问作者Osama