.NET4.0 ASP.NET Web Forms实现第三方authorization code grant模式SSO免二次登录咨询

绝对可以实现！核心思路是把你的Forms Authentication流程和第三方身份服务器的Authorization Code Grant完全整合，让用户只需要在身份服务器登录一次，就能自动获得你的Web Forms应用的认证票据。下面是具体的实现步骤和代码示例，适配.NET Framework 4.0的环境：

1. 替换默认Forms Auth登录流程，直接跳转到第三方身份服务器 #

原来的Forms Auth会跳转到你自己的登录页，现在我们要修改这个逻辑：当检测到用户未认证时，直接重定向到第三方身份服务器的授权端点，发起Authorization Code模式的授权请求。

你可以在Global.asax的Application_AuthenticateRequest事件里处理，或者在原登录页的Page_Load中修改逻辑：

protected void Application_AuthenticateRequest(object sender, EventArgs e)
{
    // 排除回调页和静态资源，避免循环重定向
    if (Request.Path.StartsWith("/auth-callback", StringComparison.OrdinalIgnoreCase) 
        || Request.Path.EndsWith(".css", StringComparison.OrdinalIgnoreCase)
        || Request.Path.EndsWith(".js", StringComparison.OrdinalIgnoreCase))
    {
        return;
    }

    if (!Request.IsAuthenticated)
    {
        var clientId = ConfigurationManager.AppSettings["ThirdPartyClientId"];
        var redirectUri = ConfigurationManager.AppSettings["ThirdPartyRedirectUri"]; // 比如https://yourapp.com/auth-callback
        var scope = "openid profile email"; // 根据第三方身份服务器要求调整
        var state = Guid.NewGuid().ToString();
        
        // 把state存到Session或者Cookie里，后续回调时验证防止CSRF
        Session["AuthState"] = state;

        var authUrl = $"https://thirdparty-identity-server.com/connect/authorize?client_id={clientId}&redirect_uri={HttpUtility.UrlEncode(redirectUri)}&response_type=code&scope={HttpUtility.UrlEncode(scope)}&state={state}";
        Response.Redirect(authUrl);
    }
}

2. 处理授权回调，交换Code获取Token并生成Forms Auth票据 #

创建一个回调页（比如AuthCallback.aspx），用来接收身份服务器返回的授权码，然后向token端点交换访问令牌和用户信息，最后生成Forms Authentication的票据，让用户自动登录到你的应用。

protected void Page_Load(object sender, EventArgs e)
{
    var code = Request.QueryString["code"];
    var state = Request.QueryString["state"];
    var storedState = Session["AuthState"]?.ToString();

    // 验证state，防止CSRF攻击
    if (string.IsNullOrEmpty(code) || string.IsNullOrEmpty(state) || state != storedState)
    {
        Response.Redirect("/Error.aspx?msg=Invalid auth request");
        return;
    }

    // 清理存储的state
    Session.Remove("AuthState");

    // 准备请求参数，向token端点交换Token
    var client = new WebClient();
    client.Headers[HttpRequestHeader.ContentType] = "application/x-www-form-urlencoded";
    
    var postData = new NameValueCollection
    {
        {"client_id", ConfigurationManager.AppSettings["ThirdPartyClientId"]},
        {"client_secret", ConfigurationManager.AppSettings["ThirdPartyClientSecret"]},
        {"code", code},
        {"redirect_uri", ConfigurationManager.AppSettings["ThirdPartyRedirectUri"]},
        {"grant_type", "authorization_code"}
    };

    try
    {
        var responseBytes = client.UploadValues("https://thirdparty-identity-server.com/connect/token", "POST", postData);
        var responseJson = Encoding.UTF8.GetString(responseBytes);

        // 解析返回的Token数据（需要Newtonsoft.Json NuGet包，.NET 4.0支持）
        var tokenResponse = JsonConvert.DeserializeObject<TokenResponse>(responseJson);

        // 从id_token或者用户信息端点获取用户标识（这里假设token里包含user_info）
        var userEmail = tokenResponse.UserInfo.Email;
        var userName = tokenResponse.UserInfo.Name;

        // 生成Forms Authentication票据
        var formsTicket = new FormsAuthenticationTicket(
            version: 1,
            name: userEmail, // 用用户唯一标识作为Forms Auth的用户名
            issueDate: DateTime.Now,
            expiration: DateTime.Now.AddMinutes(30), // 和Token过期时间保持一致
            isPersistent: false,
            userData: JsonConvert.SerializeObject(tokenResponse) // 把Token信息存在票据里，后续接口调用可用
        );

        // 加密票据并写入Cookie
        var encryptedTicket = FormsAuthentication.Encrypt(formsTicket);
        var authCookie = new HttpCookie(FormsAuthentication.FormsCookieName, encryptedTicket)
        {
            HttpOnly = true,
            Secure = FormsAuthentication.RequireSSL // 生产环境建议启用HTTPS
        };

        Response.Cookies.Add(authCookie);

        // 重定向回用户原来访问的页面，或者主页
        var redirectUrl = FormsAuthentication.GetRedirectUrl(userEmail, false);
        Response.Redirect(string.IsNullOrEmpty(redirectUrl) ? "/" : redirectUrl);
    }
    catch (Exception ex)
    {
        Response.Redirect("/Error.aspx?msg=Auth failed: " + ex.Message);
    }
}

// 辅助类，用来解析Token响应
public class TokenResponse
{
    public string AccessToken { get; set; }
    public string IdToken { get; set; }
    public int ExpiresIn { get; set; }
    public UserInfo UserInfo { get; set; }
}

public class UserInfo
{
    public string Email { get; set; }
    public string Name { get; set; }
    // 根据第三方身份服务器返回的字段添加更多属性
}

3. 实现跨应用SSO（可选） #

如果要实现真正的单点登录（比如用户在身份服务器登录后，访问你的应用无需再次授权），需要确保：

• 第三方身份服务器的会话Cookie设置了正确的父域（比如你的应用和身份服务器在同一父域下）
• 你的应用在身份服务器的信任列表中，允许静默授权（如果支持的话）
  这样用户访问你的应用时，身份服务器会识别已登录的会话，直接返回授权码，无需用户再次输入密码。

4. 同步登出流程 #

当用户在你的应用登出时，不仅要清除Forms Auth的Cookie，还要重定向到身份服务器的登出端点，清除身份服务器的会话，避免用户再次访问时自动登录：

protected void Page_Load(object sender, EventArgs e)
{
    // 清除Forms Auth票据
    FormsAuthentication.SignOut();
    // 清除Session
    Session.Abandon();

    // 重定向到身份服务器的登出端点，带上回调地址
    var postLogoutUri = ConfigurationManager.AppSettings["PostLogoutRedirectUri"]; // 比如https://yourapp.com/
    var logoutUrl = $"https://thirdparty-identity-server.com/connect/endsession?post_logout_redirect_uri={HttpUtility.UrlEncode(postLogoutUri)}";
    Response.Redirect(logoutUrl);
}

注意事项 #

• 确保你的应用使用HTTPS，避免敏感数据（比如client_secret、token）被拦截
• client_secret要存在安全的配置文件里，不要硬编码，建议用web.config的<appSettings>或者加密的配置节
• .NET Framework 4.0没有内置HttpClient，你可以用WebClient或者安装Microsoft.Net.Http NuGet包来发送HTTP请求
• 要处理Token过期的情况，可以在每次请求时检查票据的过期时间，过期后重新发起授权请求

内容的提问来源于stack exchange，提问作者ad0ran