能否让Web API对接多个OpenID Connect服务器？（IdentityServer4场景）

当然可以实现让你的MyApi同时支持多个OpenID Connect/OAuth2服务器的身份认证，下面是基于ASP.NET Core的具体实现方案，完美适配你当前使用的客户端凭证流程：

1. 配置多个JWT认证方案 #

在你的MyApi启动配置文件（.NET 6+用Program.cs，旧版本用Startup.cs）中，需要多次调用AddJwtBearer方法，为每个OIDC服务器创建独立的认证方案，每个方案指定唯一名称，比如对应不同的IdentityServer实例：

// .NET 6+ Program.cs示例
var builder = WebApplication.CreateBuilder(args);

// 添加认证服务，配置多个JWT方案
builder.Services.AddAuthentication()
    // 第一个OIDC服务器的认证方案
    .AddJwtBearer("IdentityServer1", options =>
    {
        options.Authority = "https://your-first-identityserver-url";
        options.Audience = "MyApi"; // 你的API在该服务器上的标识
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidIssuer = "https://your-first-identityserver-url",
            ValidateIssuerSigningKey = true,
            ValidateAudience = true
        };
    })
    // 第二个OIDC服务器的认证方案
    .AddJwtBearer("IdentityServer2", options =>
    {
        options.Authority = "https://your-second-identityserver-url";
        options.Audience = "MyApi";
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidIssuer = "https://your-second-identityserver-url",
            ValidateIssuerSigningKey = true,
            ValidateAudience = true
        };
    });

2. 动态选择认证方案或设置授权策略 #

根据你的业务需求，有两种方式处理多服务器的认证匹配：

方式一：自动识别令牌来源（动态匹配） #

设置一个默认的策略方案，让它根据令牌的iss（颁发者）字段自动匹配对应的JWT认证方案：

builder.Services.AddAuthentication(options =>
{
    options.DefaultScheme = "DynamicScheme";
})
.AddPolicyScheme("DynamicScheme", "Dynamic Scheme", options =>
{
    options.ForwardDefaultSelector = context =>
    {
        // 从请求头提取Bearer令牌
        var authorizationHeader = context.Request.Headers.Authorization.FirstOrDefault();
        if (string.IsNullOrEmpty(authorizationHeader) || !authorizationHeader.StartsWith("Bearer "))
        {
            return null;
        }

        var token = authorizationHeader.Substring("Bearer ".Length).Trim();
        // 解析令牌的颁发者字段
        var handler = new JwtSecurityTokenHandler();
        if (handler.CanReadToken(token))
        {
            var jwtToken = handler.ReadJwtToken(token);
            var issuer = jwtToken.Issuer;
            
            // 根据颁发者匹配对应认证方案
            if (issuer == "https://your-first-identityserver-url")
            {
                return "IdentityServer1";
            }
            else if (issuer == "https://your-second-identityserver-url")
            {
                return "IdentityServer2";
            }
        }

        return null;
    };
})
// 这里再添加之前定义的两个JwtBearer方案...

方式二：指定接口允许的认证来源 #

如果需要限制某些接口仅接受特定服务器的令牌，可以创建针对性的授权策略：

// 添加授权策略
builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("Server1Only", policy =>
    {
        policy.AddAuthenticationSchemes("IdentityServer1")
              .RequireAuthenticatedUser();
    });
    
    options.AddPolicy("Server2Only", policy =>
    {
        policy.AddAuthenticationSchemes("IdentityServer2")
              .RequireAuthenticatedUser();
    });
    
    // 允许所有配置服务器的令牌访问的策略
    options.AddPolicy("AllowAllServers", policy =>
    {
        policy.AddAuthenticationSchemes("IdentityServer1", "IdentityServer2")
              .RequireAuthenticatedUser();
    });
});

然后在控制器或接口上应用策略：

[Authorize(Policy = "Server1Only")]
[ApiController]
[Route("api/server1")]
public class Server1OnlyController : ControllerBase
{
    // 仅接受来自第一个IdentityServer的令牌请求
}

[Authorize(Policy = "AllowAllServers")]
[ApiController]
[Route("api/common")]
public class CommonController : ControllerBase
{
    // 接受来自任意配置IdentityServer的令牌请求
}

3. 关键注意事项 #

• 令牌验证配置：务必确保每个JWT方案的TokenValidationParameters正确设置，尤其是ValidIssuer，避免接受非法颁发者的令牌。
• 公钥自动获取：默认AddJwtBearer会从OIDC服务器的/.well-known/openid-configuration端点自动拉取公钥用于签名验证，要保证你的API能正常访问这些端点。
• 客户端注册：每个桌面客户端需要在对应的IdentityServer上完成注册，确保ClientId、ClientSecret和AllowedScopes（包含你的API标识）配置无误。

内容的提问来源于stack exchange，提问作者koalabruder