多租户认证中间件：ASP.NET安全中间件适配租户专属URL身份服务器方案问询

针对你遇到的ASP.NET Security中间件启动时硬编码端点、无法运行时解析租户主机地址的问题，其实已经有成熟的实践方案，同时你考虑的抽象层+OAuth事件挂钩思路也是可行的，下面具体展开：

一、成熟方案：利用OpenID Connect事件动态配置端点 #

ASP.NET Core的OpenID Connect中间件提供了丰富的事件钩子，允许你在运行时修改请求参数和配置，这刚好能解决多租户动态Identity Server地址的问题。核心思路是：

1. 先解析当前租户：通过主机头（Host）识别租户，将租户对应的Identity Server配置存储到HttpContext.Items中；
2. 在OAuth事件中动态替换端点：在OnRedirectToIdentityProvider事件里，根据当前租户的配置替换Authority、授权端点等信息。

具体实现步骤 #

1. 实现租户解析中间件

首先编写一个中间件，从请求主机头解析租户，并获取对应的Identity Server地址：

public class TenantResolutionMiddleware
{
    private readonly RequestDelegate _next;

    public TenantResolutionMiddleware(RequestDelegate next)
    {
        _next = next;
    }

    public async Task InvokeAsync(HttpContext context)
    {
        var hostName = context.Request.Host.Host;
        // 这里可以从数据库、配置中心或内存缓存中获取租户对应的Identity Server地址
        var tenantIdentityConfig = await FetchTenantIdentityConfig(hostName);
        
        if (tenantIdentityConfig != null)
        {
            context.Items["TenantIdentityConfig"] = tenantIdentityConfig;
        }

        await _next(context);
    }

    private async Task<TenantIdentityConfig> FetchTenantIdentityConfig(string hostName)
    {
        // 示例：假设主机名是tenant1.yourdomain.com，对应的Identity Server地址是https://tenant1.identity.yourdomain.com
        var tenantId = hostName.Split('.')[0];
        return await Task.FromResult(new TenantIdentityConfig
        {
            Authority = $"https://{tenantId}.identity.yourdomain.com",
            AuthorizeEndpoint = $"https://{tenantId}.identity.yourdomain.com/connect/authorize",
            TokenEndpoint = $"https://{tenantId}.identity.yourdomain.com/connect/token"
        });
    }
}

public class TenantIdentityConfig
{
    public string Authority { get; set; }
    public string AuthorizeEndpoint { get; set; }
    public string TokenEndpoint { get; set; }
}

2. 配置OpenID Connect并挂钩事件

在Program.cs（或Startup.cs）中，配置认证服务时，利用OpenID Connect事件动态替换端点：

builder.Services.AddAuthentication(options =>
{
    options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme;
})
.AddCookie()
.AddOpenIdConnect(options =>
{
    // 设置默认值（可选，用于 fallback）
    options.Authority = "https://default.identity.yourdomain.com";
    options.ClientId = "your-shared-client-id"; // 如果租户共用ClientId，否则也可以动态设置
    options.ClientSecret = "your-client-secret";
    options.ResponseType = "code";
    options.SaveTokens = true;

    // 挂钩重定向到授权端点的事件
    options.Events = new OpenIdConnectEvents
    {
        OnRedirectToIdentityProvider = async context =>
        {
            if (context.HttpContext.Items.TryGetValue("TenantIdentityConfig", out var configObj)
                && configObj is TenantIdentityConfig tenantConfig)
            {
                // 替换授权端点地址
                context.ProtocolMessage.IssuerAddress = tenantConfig.AuthorizeEndpoint;
                // 更新中间件的Authority配置，确保后续令牌验证正确
                context.Options.Authority = tenantConfig.Authority;
                context.Options.TokenEndpoint = tenantConfig.TokenEndpoint;
            }
            await Task.CompletedTask;
        },
        // 可选：验证令牌的Issuer是否符合当前租户
        OnTokenValidated = context =>
        {
            if (context.HttpContext.Items.TryGetValue("TenantIdentityConfig", out var configObj)
                && configObj is TenantIdentityConfig tenantConfig)
            {
                if (context.SecurityToken.Issuer != tenantConfig.Authority)
                {
                    context.Fail($"Invalid issuer for tenant: expected {tenantConfig.Authority}, got {context.SecurityToken.Issuer}");
                }
            }
            return Task.CompletedTask;
        }
    };
});

// 注册租户解析中间件，注意要放在认证中间件之前
app.UseMiddleware<TenantResolutionMiddleware>();
app.UseAuthentication();
app.UseAuthorization();

二、进阶：封装抽象层解耦租户配置获取 #

如果你希望代码更解耦、更易于扩展，可以像你考虑的那样，封装一个抽象层来处理租户Identity Server配置的获取：

1. 定义抽象接口 #

public interface ITenantIdentityConfigProvider
{
    Task<TenantIdentityConfig> GetConfigForTenantAsync(string tenantId);
    Task<string> ResolveTenantIdFromHostAsync(string hostName);
}

2. 实现具体的配置提供器 #

比如从数据库获取：

public class DatabaseTenantIdentityConfigProvider : ITenantIdentityConfigProvider
{
    private readonly AppDbContext _dbContext;

    public DatabaseTenantIdentityConfigProvider(AppDbContext dbContext)
    {
        _dbContext = dbContext;
    }

    public async Task<string> ResolveTenantIdFromHostAsync(string hostName)
    {
        // 从数据库映射主机名到租户ID
        var tenantMapping = await _dbContext.TenantHostMappings
            .FirstOrDefaultAsync(m => m.HostName == hostName);
        return tenantMapping?.TenantId;
    }

    public async Task<TenantIdentityConfig> GetConfigForTenantAsync(string tenantId)
    {
        var tenant = await _dbContext.Tenants.FindAsync(tenantId);
        if (tenant == null) return null;

        return new TenantIdentityConfig
        {
            Authority = tenant.IdentityServerBaseUrl,
            AuthorizeEndpoint = $"{tenant.IdentityServerBaseUrl}/connect/authorize",
            TokenEndpoint = $"{tenant.IdentityServerBaseUrl}/connect/token"
        };
    }
}

3. 在事件中使用抽象服务 #

修改OpenID Connect事件的代码，通过依赖注入获取抽象服务：

options.Events = new OpenIdConnectEvents
{
    OnRedirectToIdentityProvider = async context =>
    {
        var configProvider = context.HttpContext.RequestServices.GetRequiredService<ITenantIdentityConfigProvider>();
        var hostName = context.Request.Host.Host;
        var tenantId = await configProvider.ResolveTenantIdFromHostAsync(hostName);
        
        if (!string.IsNullOrEmpty(tenantId))
        {
            var tenantConfig = await configProvider.GetConfigForTenantAsync(tenantId);
            if (tenantConfig != null)
            {
                context.ProtocolMessage.IssuerAddress = tenantConfig.AuthorizeEndpoint;
                context.Options.Authority = tenantConfig.Authority;
                context.Options.TokenEndpoint = tenantConfig.TokenEndpoint;
            }
        }
        await Task.CompletedTask;
    }
};

三、额外提示：结合IdentityServer4的多租户支持 #

如果你使用IdentityServer4作为身份提供商，它本身就内置了多租户支持，可以通过ITenantStore等扩展点动态加载租户的客户端、资源配置，配合上面的方案，能实现端到端的多租户身份管理。

内容的提问来源于stack exchange，提问作者Christo