在IdentityServer4中获取Facebook授权码与AccessToken的技术问询

我之前也碰到过类似的问题，IdentityServer4默认确实不会把外部身份提供商（比如Facebook）的授权码和AccessToken直接暴露出来——毕竟这些都是敏感凭据，框架默认只会提取Claims来构建用户身份。不过咱们可以通过几个自定义步骤来获取并按需使用这些令牌，下面是具体的实现方案：

1. 先开启Facebook认证的令牌保存功能 #

在配置Facebook认证的时候，一定要打开SaveTokens选项，这样外部认证流程中产生的令牌（包括授权码、AccessToken）才会被保存到认证票据里，后续才能拿到：

// .NET 6+的Program.cs或者旧版的Startup.cs
services.AddAuthentication()
    .AddFacebook(options =>
    {
        options.AppId = "你的Facebook AppId";
        options.AppSecret = "你的Facebook AppSecret";
        // 关键：开启保存外部令牌到认证票据
        options.SaveTokens = true;
    });

2. 在登录流程中获取令牌 #

方式一：在登录回调里直接提取 #

如果你用的是IdentityServer自带的登录页面，那可以在AccountController的ExternalLoginCallback方法里，从外部登录信息中提取令牌：

public async Task<IActionResult> ExternalLoginCallback(string returnUrl = null, string remoteError = null)
{
    // 省略原有错误处理和登录信息获取逻辑...
    
    var externalLoginInfo = await _signInManager.GetExternalLoginInfoAsync();
    if (externalLoginInfo == null)
    {
        return RedirectToAction(nameof(Login));
    }

    // 从AuthenticationTokens里拿Facebook的AccessToken和授权码
    var fbAccessToken = externalLoginInfo.AuthenticationTokens
        .FirstOrDefault(t => t.Name == "access_token")?.Value;
    var fbAuthCode = externalLoginInfo.AuthenticationTokens
        .FirstOrDefault(t => t.Name == "code")?.Value;

    // 这里你可以选择把令牌存到数据库（如果服务器端要用），或者临时加到Claims里
    // 注意：如果要传给客户端，一定要确保客户端是信任的，别把敏感令牌泄露出去
    var additionalClaims = new List<Claim>();
    if (!string.IsNullOrEmpty(fbAccessToken))
    {
        additionalClaims.Add(new Claim("fb_access_token", fbAccessToken));
    }

    // 继续完成登录流程，把额外Claims加进去
    var signInResult = await _signInManager.ExternalLoginSignInAsync(
        externalLoginInfo.LoginProvider, 
        externalLoginInfo.ProviderKey, 
        isPersistent: false, 
        bypassTwoFactor: true);
    
    // 省略后续逻辑...
}

方式二：通过ProfileService传给客户端 #

如果需要把令牌传递给客户端（比如信任的SPA或API客户端），可以自定义IProfileService，在生成用户Claims的时候把令牌加进去：

public class CustomProfileService : IProfileService
{
    private readonly IHttpContextAccessor _httpContextAccessor;

    public CustomProfileService(IHttpContextAccessor httpContextAccessor)
    {
        _httpContextAccessor = httpContextAccessor;
    }

    public async Task GetProfileDataAsync(ProfileDataRequestContext context)
    {
        // 从HttpContext里拿到认证票据
        var authProperties = _httpContextAccessor.HttpContext?.Items["properties"] as AuthenticationProperties;
        if (authProperties != null)
        {
            // 提取Facebook的AccessToken
            var fbAccessToken = authProperties.GetTokenValue("access_token");
            if (!string.IsNullOrEmpty(fbAccessToken))
            {
                context.IssuedClaims.Add(new Claim("fb_access_token", fbAccessToken));
            }
        }

        // 保留用户原有的Claims
        context.IssuedClaims.AddRange(context.Subject.Claims);
        await Task.CompletedTask;
    }

    public async Task IsActiveAsync(IsActiveContext context)
    {
        context.IsActive = true;
        await Task.CompletedTask;
    }
}

然后记得在IdentityServer的服务注册里添加这个ProfileService：

services.AddIdentityServer()
    // 其他配置（比如AddInMemoryClients、AddInMemoryApiResources等）...
    .AddProfileService<CustomProfileService>();

3. 重要的安全提醒 #

• 外部令牌（尤其是授权码和AccessToken）是敏感信息，绝对不能传给不可信的客户端，如果只是服务器端需要调用Facebook API，建议把令牌存在数据库里，不要暴露给前端。
• Facebook的AccessToken有过期时间，如果需要长期使用，还要处理令牌刷新的逻辑。
• 如果你用的是封装好的即插即用集成，建议先在测试环境验证这些配置，避免破坏原有功能。

内容的提问来源于stack exchange，提问作者Oli