如何将多外部WebAPI/WebApp接入.NET Core2.0集中式认证授权服务？

嘿，看起来你已经搭好了一个运行正常的.NET Core 2.0身份认证应用，现在想把它变成统一的认证授权中心，对接多个外部WebAPI和Web应用来实现令牌的单点管理对吧？这其实是典型的**身份即服务（IDaaS）**场景，我来给你一步步梳理怎么实现：

要把现有应用变成统一认证节点，我们需要将它升级为OAuth2.0/OpenID Connect认证服务器，推荐用IdentityServer4（注意选和.NET Core 2.0兼容的版本，2.x系列最合适），然后配置外部应用/API作为客户端接入。

1. 集成IdentityServer4到现有应用 #

首先给项目安装兼容的IdentityServer4 NuGet包：

Install-Package IdentityServer4 -Version 2.5.4

然后在Startup.cs的ConfigureServices方法里配置IdentityServer服务，关联你现有的用户系统：

public void ConfigureServices(IServiceCollection services)
{
    // 保留你原有的身份认证配置（比如AddIdentity）
    services.AddDbContext<ApplicationDbContext>(options =>
        options.UseSqlServer(Configuration.GetConnectionString("DefaultConnection")));

    services.AddDefaultIdentity<ApplicationUser>()
        .AddEntityFrameworkStores<ApplicationDbContext>();

    // 添加IdentityServer配置
    services.AddIdentityServer()
        .AddInMemoryClients(GetRegisteredClients()) // 配置所有要接入的外部客户端
        .AddInMemoryApiResources(GetProtectedApiResources()) // 配置受保护的API资源
        .AddAspNetIdentity<ApplicationUser>(); // 关联现有用户体系
}

接下来定义要接入的客户端和API资源的示例（生产环境建议用数据库存储，比如IdentityServer4.EntityFramework）：

// 定义外部接入的客户端（Web应用、WebAPI都算客户端）
private IEnumerable<Client> GetRegisteredClients()
{
    return new List<Client>
    {
        // 外部Web应用（用Authorization Code Flow，最安全的Web应用认证方式）
        new Client
        {
            ClientId = "external-web-app-01",
            ClientName = "外部管理后台",
            AllowedGrantTypes = GrantTypes.Code,
            ClientSecrets = { new Secret("web-app-secret-123".Sha256()) },
            RedirectUris = { "https://external-web-app.com/signin-oidc" },
            PostLogoutRedirectUris = { "https://external-web-app.com/signout-callback-oidc" },
            AllowedScopes = { "openid", "profile", "internal-api" }
        },
        // 外部WebAPI（用Client Credentials Flow，服务间调用）
        new Client
        {
            ClientId = "external-api-01",
            ClientName = "订单查询API",
            AllowedGrantTypes = GrantTypes.ClientCredentials,
            ClientSecrets = { new Secret("api-secret-456".Sha256()) },
            AllowedScopes = { "internal-api" }
        }
    };
}

// 定义受保护的API资源（所有需要授权的API都要在这里注册）
private IEnumerable<ApiResource> GetProtectedApiResources()
{
    return new List<ApiResource>
    {
        new ApiResource("internal-api", "统一认证中心管理API")
    };
}

最后在Configure方法里添加IdentityServer中间件：

public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{
    // 保留你原有的中间件配置（比如UseStaticFiles、UseMvc等）
    if (env.IsDevelopment())
    {
        app.UseDeveloperExceptionPage();
    }
    else
    {
        app.UseExceptionHandler("/Home/Error");
        app.UseHsts();
    }

    app.UseHttpsRedirection();
    app.UseStaticFiles();
    app.UseCookiePolicy();

    // 添加IdentityServer中间件（要放在UseAuthentication之前）
    app.UseIdentityServer();

    app.UseAuthentication();
    app.UseMvc(routes =>
    {
        routes.MapRoute(
            name: "default",
            template: "{controller=Home}/{action=Index}/{id?}");
    });
}

2. 改造现有AccountController适配认证流程 #

你现有的Login方法可以复用，但需要调整来支持IdentityServer的回调逻辑：

[HttpPost]
[AllowAnonymous]
[ValidateAntiForgeryToken]
public async Task<IActionResult> Login(LoginViewModel model, string returnUrl = null)
{
    ViewData["ReturnUrl"] = returnUrl;
    if (ModelState.IsValid)
    {
        var result = await _signInManager.PasswordSignInAsync(model.Email, model.Password, model.RememberMe, lockoutOnFailure: false);
        if (result.Succeeded)
        {
            // 处理IdentityServer的回调URL，确保跳转安全
            if (Url.IsLocalUrl(returnUrl) || returnUrl.StartsWith("https://") || returnUrl.StartsWith("http://"))
            {
                return Redirect(returnUrl);
            }
            else
            {
                return RedirectToAction(nameof(HomeController.Index), "Home");
            }
        }
        ModelState.AddModelError(string.Empty, "无效的登录尝试，请检查账号密码。");
        return View(model);
    }
    // 模型验证失败，返回登录页
    return View(model);
}

还要添加登出Action来支持单点登出（用户在认证中心登出后，所有接入的应用都要同步登出）：

[HttpPost]
[ValidateAntiForgeryToken]
public async Task<IActionResult> Logout()
{
    await _signInManager.SignOutAsync();
    // 通知IdentityServer处理跨应用登出
    return SignOut("Cookies", "oidc");
}

3. 配置外部Web应用接入统一认证 #

以ASP.NET Core Web应用为例，在它的Startup.cs里配置OpenID Connect认证：

public void ConfigureServices(IServiceCollection services)
{
    services.AddAuthentication(options =>
    {
        options.DefaultScheme = "Cookies";
        options.DefaultChallengeScheme = "oidc";
    })
    .AddCookie("Cookies")
    .AddOpenIdConnect("oidc", options =>
    {
        options.Authority = "https://your-auth-center.com"; // 你的统一认证中心地址
        options.ClientId = "external-web-app-01"; // 和认证中心配置的ClientId一致
        options.ClientSecret = "web-app-secret-123"; // 和认证中心配置的ClientSecret一致
        options.ResponseType = "code";
        options.SaveTokens = true;
        // 请求需要的权限范围
        options.Scope.Add("openid");
        options.Scope.Add("profile");
        options.Scope.Add("internal-api");
    });

    services.AddMvc().SetCompatibilityVersion(CompatibilityVersion.Version_2_2);
}

然后在Configure里启用认证：

public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{
    // 其他中间件...
    app.UseAuthentication();
    app.UseMvc();
}

4. 配置外部WebAPI接入统一授权 #

以ASP.NET Core WebAPI为例，在它的Startup.cs里配置JWT认证：

public void ConfigureServices(IServiceCollection services)
{
    services.AddAuthentication("Bearer")
        .AddJwtBearer("Bearer", options =>
        {
            options.Authority = "https://your-auth-center.com"; // 统一认证中心地址
            options.RequireHttpsMetadata = true; // 生产环境必须开启HTTPS
            options.Audience = "internal-api"; // 和认证中心配置的ApiResource名称一致
        });

    services.AddMvc().SetCompatibilityVersion(CompatibilityVersion.Version_2_2);
}

然后在Configure里启用认证和授权，并在需要保护的API控制器/方法上添加[Authorize]特性：

public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{
    // 其他中间件...
    app.UseAuthentication();
    app.UseAuthorization();
    app.UseMvc();
}

关键注意事项 #

• 强制HTTPS：生产环境中，认证中心和所有接入的应用/API必须使用HTTPS，否则令牌传输会有安全风险。
• 存储优化：示例中用了内存存储客户端和API资源，生产环境一定要换成数据库存储（比如用IdentityServer4.EntityFramework包）。
• 版本兼容：严格保证IdentityServer4版本和.NET Core 2.0兼容，2.5.4是经过验证的稳定版本。
• 权限细化：可以根据需求配置更细粒度的权限范围（Scope），实现不同应用/API的权限隔离。

内容的提问来源于stack exchange，提问作者JamieMeyer