IdentityServer4 .NET Core 2.1集成MongoDB用户存储的配置疑问

我来帮你梳理清楚完整的配置流程，你遇到的困惑主要是因为IUserService被拆分后，各个组件的分工和注册逻辑需要明确，一步步来：

1. 先实现自定义用户仓储（IUserRepository） #

这是对接MongoDB的基础，用来封装用户的查询、密码验证等核心逻辑，把数据库操作和业务逻辑解耦。示例代码如下：

// 定义仓储接口
public interface IUserRepository
{
    Task<ApplicationUser> FindByUsernameAsync(string username);
    Task<bool> ValidatePasswordAsync(ApplicationUser user, string password);
}

// MongoDB实现类
public class MongoUserRepository : IUserRepository
{
    private readonly IMongoCollection<ApplicationUser> _users;

    public MongoUserRepository(IMongoDatabase database)
    {
        _users = database.GetCollection<ApplicationUser>("users");
    }

    public async Task<ApplicationUser> FindByUsernameAsync(string username)
    {
        return await _users.Find(u => u.Username == username).FirstOrDefaultAsync();
    }

    public async Task<bool> ValidatePasswordAsync(ApplicationUser user, string password)
    {
        // 这里用你偏好的密码哈希验证逻辑，比如BCrypt
        return BCrypt.Net.BCrypt.Verify(password, user.PasswordHash);
    }
}

然后在Program.cs（或Startup.cs）里注册MongoDB客户端和仓储：

// 注册MongoDB客户端
builder.Services.AddSingleton<IMongoClient>(new MongoClient("mongodb://localhost:27017"));
// 注册MongoDB数据库实例
builder.Services.AddScoped<IMongoDatabase>(sp => 
    sp.GetRequiredService<IMongoClient>().GetDatabase("IdentityServerDB"));
// 注册自定义用户仓储
builder.Services.AddScoped<IUserRepository, MongoUserRepository>();

2. 实现ResourceOwnerPasswordValidator（必填） #

这个组件是IdentityServer处理**密码模式（Resource Owner Password）**的核心，用来验证用户名密码是否合法，必须替换默认的内存实现。注入你的IUserRepository来实现业务逻辑：

public class CustomResourceOwnerPasswordValidator : IResourceOwnerPasswordValidator
{
    private readonly IUserRepository _userRepository;

    public CustomResourceOwnerPasswordValidator(IUserRepository userRepository)
    {
        _userRepository = userRepository;
    }

    public async Task ValidateAsync(ResourceOwnerPasswordValidationContext context)
    {
        var user = await _userRepository.FindByUsernameAsync(context.UserName);
        if (user == null || !await _userRepository.ValidatePasswordAsync(user, context.Password))
        {
            context.Result = new GrantValidationResult(TokenRequestErrors.InvalidGrant, "Invalid username or password");
            return;
        }

        // 验证通过，返回用户标识和声明
        context.Result = new GrantValidationResult(
            subject: user.Id.ToString(),
            authenticationMethod: "password",
            claims: GetUserClaims(user));
    }

    private IEnumerable<Claim> GetUserClaims(ApplicationUser user)
    {
        return new List<Claim>
        {
            new Claim(JwtClaimTypes.Subject, user.Id.ToString()),
            new Claim(JwtClaimTypes.Name, user.Username),
            // 按需添加其他声明，比如角色、邮箱等
        };
    }
}

注册这个验证器到IdentityServer：

builder.Services.AddIdentityServer()
    // 这里添加你的资源、客户端配置
    .AddResourceOwnerValidator<CustomResourceOwnerPasswordValidator>();

3. 实现IProfileService（可选但推荐） #

如果你需要在生成ID Token、Access Token或者调用UserInfo端点时返回用户的额外信息（比如邮箱、角色），就必须实现这个接口。它负责提供用户的身份声明，同样注入IUserRepository：

public class CustomProfileService : IProfileService
{
    private readonly IUserRepository _userRepository;

    public CustomProfileService(IUserRepository userRepository)
    {
        _userRepository = userRepository;
    }

    public async Task GetProfileDataAsync(ProfileDataRequestContext context)
    {
        var subjectId = context.Subject.GetSubjectId();
        // 根据subjectId查询用户，这里根据你的实体结构调整
        var user = await _userRepository.FindByUsernameAsync(context.Subject.GetDisplayName());
        
        var claims = GetUserClaims(user);
        context.IssuedClaims.AddRange(claims);
    }

    public async Task IsActiveAsync(IsActiveContext context)
    {
        var subjectId = context.Subject.GetSubjectId();
        var user = await _userRepository.FindByUsernameAsync(context.Subject.GetDisplayName());
        // 标记用户是否处于活跃状态
        context.IsActive = user != null && user.IsActive;
    }

    private IEnumerable<Claim> GetUserClaims(ApplicationUser user)
    {
        return new List<Claim>
        {
            new Claim(JwtClaimTypes.Subject, user.Id.ToString()),
            new Claim(JwtClaimTypes.Name, user.Username),
            new Claim(JwtClaimTypes.Email, user.Email),
            new Claim(JwtClaimTypes.Role, user.Role)
        };
    }
}

注册到IdentityServer：

builder.Services.AddIdentityServer()
    // 其他配置
    .AddProfileService<CustomProfileService>();

4. AccountsController的Login方法调整 #

你完全可以在AccountsController里注入IUserRepository，用来处理登录页面的用户验证（因为登录页面是自定义的，需要先验证用户再触发IdentityServer的授权流程）。调整你的Login方法：

private readonly IUserRepository _userRepository;
private readonly IIdentityServerInteractionService _interaction;

// 构造函数注入依赖
public AccountsController(IUserRepository userRepository, IIdentityServerInteractionService interaction)
{
    _userRepository = userRepository;
    _interaction = interaction;
}

/// <summary>
/// Handle postback from username/password login
/// </summary>
[HttpPost]
[ValidateAntiForgeryToken]
public async Task<IActionResult> Login(LoginInputModel model, string button)
{
    if (button != "login")
    {
        // 处理取消登录的逻辑
        var context = await _interaction.GetAuthorizationContextAsync(model.ReturnUrl);
        if (context != null)
        {
            await _interaction.DenyAuthorizationAsync(context, AuthorizationError.AccessDenied);
            return Redirect(model.ReturnUrl);
        }
        return RedirectToAction("Index", "Home");
    }

    if (!ModelState.IsValid)
    {
        return View(model);
    }

    // 用自定义仓储验证用户
    var user = await _userRepository.FindByUsernameAsync(model.Username);
    if (user == null || !await _userRepository.ValidatePasswordAsync(user, model.Password))
    {
        ModelState.AddModelError(string.Empty, "Invalid username or password");
        return View(model);
    }

    // 验证通过，调用IdentityServer的登录接口
    await HttpContext.SignInAsync(user.Id.ToString(), user.Username, new AuthenticationProperties
    {
        IsPersistent = model.RememberLogin
    });

    // 重定向到授权页面
    return Redirect(model.ReturnUrl);
}

几个关键注意点 #

• ApplicationUser实体要包含你需要的字段：Id、Username、PasswordHash、Email、Role、IsActive等，根据业务需求调整。
• 密码必须用哈希存储，绝对不能明文，推荐使用BCrypt或者ASP.NET Core的PasswordHasher<T>。
• 如果你用的是Duende IdentityServer，配置逻辑和IdentityServer4基本一致，只是命名空间略有不同。
• 不用再纠结IUserService了，它确实已经被拆分成ResourceOwnerPasswordValidator和IProfileService两个核心组件，各司其职。

内容的提问来源于stack exchange，提问作者Carlos Torrecillas