Xamarin应用使用IdentityServer 4无Web交互登录的技术疑问

首先得说，你想要的无Web界面直接用邮箱密码登录并获取令牌的需求，IdentityServer4其实已经有原生支持的方案——资源所有者密码凭证授权（Resource Owner Password Credentials Grant），不过先逐一解答你的两个问题：

问题1：直接校验clientId和clientSecret是否为正确做法？ #

直接在自定义控制器里手动校验clientId和clientSecret不是推荐的最佳实践，原因有几点：

• IdentityServer4已经内置了成熟的客户端验证逻辑，涵盖了客户端密钥的加密存储、验证流程，自己写很容易出现安全漏洞（比如密钥明文存储、验证逻辑不严谨）
• 这种方式偏离了IdentityServer4的设计架构，后续扩展（比如支持多种客户端类型、权限控制）会非常麻烦

正确的做法应该是：

1. 在IdentityServer4的客户端配置中，将你的Xamarin应用注册为一个客户端，指定允许使用password授权类型，同时配置好该客户端能访问的API范围
2. Xamarin客户端直接向IdentityServer4的/connect/token端点发起请求，携带必要参数，由IdentityServer自动完成客户端身份验证和用户凭证验证
3. 如果你需要保护自定义API，应该让API集成IdentityServer4的JWT验证中间件，客户端用获取到的令牌访问API，而不是自己做客户端校验

问题2：如何为Xamarin客户端生成可访问其他API的新令牌？ #

方案一：使用IdentityServer原生的资源所有者授权（推荐） #

不需要自己写Login控制器，Xamarin客户端可以直接通过HttpClient调用/connect/token端点获取令牌，示例代码如下：

var client = new HttpClient();
var tokenRequest = new Dictionary<string, string>
{
    { "grant_type", "password" },
    { "client_id", "你的Xamarin客户端ID" },
    { "client_secret", "你的Xamarin客户端密钥" }, // 如果是公共客户端（比如移动应用），建议不要存密钥，改用PKCE的授权码流程
    { "username", "用户邮箱" },
    { "password", "用户密码" },
    { "scope", "api1 api2" } // 指定要访问的API范围
};

var response = await client.PostAsync("https://你的IdentityServer地址/connect/token", 
    new FormUrlEncodedContent(tokenRequest));

var tokenResponse = await response.Content.ReadFromJsonAsync<TokenResponse>();
// tokenResponse.AccessToken就是可以用来访问API的令牌

（注：TokenResponse是你需要定义的模型，包含access_token、expires_in等字段）

方案二：自定义控制器生成令牌（不推荐，但满足你的现有代码场景） #

如果你坚持要用自己的Login控制器，需要依赖IdentityServer4的IIdentityServerTools来生成符合规范的JWT令牌，步骤如下：

1. 在控制器中注入IIdentityServerTools和IUserClaimsPrincipalFactory<ApplicationUser>
2. 验证用户凭证成功后，构建令牌请求并生成令牌

示例代码：

private readonly IIdentityServerTools _identityServerTools;
private readonly IUserClaimsPrincipalFactory<ApplicationUser> _claimsFactory;
private readonly UserManager<ApplicationUser> _userManager;
private readonly SignInManager<ApplicationUser> _signInManager;
private readonly IClientStore _clientStore;
private readonly IClientSecretValidator _clientSecretValidator;

// 构造函数注入依赖
public YourController(IIdentityServerTools identityServerTools, 
    IUserClaimsPrincipalFactory<ApplicationUser> claimsFactory,
    UserManager<ApplicationUser> userManager,
    SignInManager<ApplicationUser> signInManager,
    IClientStore clientStore,
    IClientSecretValidator clientSecretValidator)
{
    _identityServerTools = identityServerTools;
    _claimsFactory = claimsFactory;
    _userManager = userManager;
    _signInManager = signInManager;
    _clientStore = clientStore;
    _clientSecretValidator = clientSecretValidator;
}

public async Task<IActionResult> LoginAsync(string clientId, string clientSecret, string email, string password)
{
    // 1. 用IdentityServer内置逻辑验证客户端身份
    var client = await _clientStore.FindClientByIdAsync(clientId);
    if (client == null || !await _clientSecretValidator.ValidateAsync(client, clientSecret))
    {
        return BadRequest("客户端身份验证失败");
    }

    // 2. 验证用户凭证
    var user = await _userManager.FindByEmailAsync(email);
    var result = await _signInManager.PasswordSignInAsync(user, password, false, true);
    if (!result.Succeeded)
    {
        return BadRequest("用户名或密码错误");
    }

    // 3. 构建用户身份声明
    var principal = await _claimsFactory.CreateAsync(user);
    var claims = principal.Claims.ToList();

    // 4. 创建令牌请求，指定客户端、可访问的API范围等
    var tokenRequest = new TokenCreationRequest
    {
        Subject = principal,
        ClientId = clientId,
        ValidatedRequest = new ValidatedRequest
        {
            Client = client,
            Subject = principal
        },
        ScopeValues = client.AllowedScopes // 继承客户端配置的允许访问范围
    };

    // 5. 生成并返回令牌
    var token = await _identityServerTools.CreateTokenAsync(tokenRequest);
    return Ok(new { AccessToken = token });
}

重要提醒 #

资源所有者密码授权类型虽然能满足无Web界面登录的需求，但安全性相对较低，因为客户端需要直接持有用户的密码。如果你的Xamarin应用是公共客户端（无法安全存储clientSecret），建议优先考虑授权码流程+PKCE，这种流程不需要Web界面（可以用系统浏览器或嵌入式WebView，但你如果完全不想用Web相关的话，资源所有者是唯一选择）。

内容的提问来源于stack exchange，提问作者ClubberLang