IdentityServer4对接Google认证时缺失'sub'声明问题求助

别担心，我之前也碰到过这个问题，以下两种方案都能帮你搞定，你可以根据自己的情况选择：

方案一：在Google OAuth配置中直接映射声明 #

Google默认会返回用户唯一标识的nameidentifier声明，我们可以在配置Google认证的时候，把它直接映射成IdentityServer需要的sub声明。另外，要确保请求正确的Scope来获取完整的用户信息：

在Startup.cs的ConfigureServices方法里，修改Google认证的配置：

services.AddAuthentication()
    .AddGoogle(options =>
    {
        options.ClientId = "你的Google客户端ID";
        options.ClientSecret = "你的Google客户端密钥";
        
        // 请求openid和profile scope，让Google返回用户标识相关字段
        options.Scope.Add("openid");
        options.Scope.Add("profile");
        
        // 把Google返回的nameidentifier映射为sub声明（如果Google直接返回sub字段，可改为MapJsonKey("sub", "sub")）
        options.ClaimActions.MapUniqueJsonKey("sub", "nameidentifier");
    });

这里用MapUniqueJsonKey是为了避免重复声明，确保sub标识的唯一性。

方案二：通过自定义ProfileService添加sub声明 #

如果方案一不生效，你可以在IdentityServer中实现自定义的IProfileService，手动从外部登录的声明中提取用户标识并添加sub声明：

1. 创建自定义ProfileService类：

using IdentityServer4.Models;
using IdentityServer4.Services;
using System.Security.Claims;
using System.Threading.Tasks;

public class CustomProfileService : IProfileService
{
    public async Task GetProfileDataAsync(ProfileDataRequestContext context)
    {
        // 从当前用户的声明中找到nameidentifier
        var nameIdClaim = context.Subject.FindFirst(ClaimTypes.NameIdentifier);
        if (nameIdClaim != null)
        {
            // 添加sub声明
            context.IssuedClaims.Add(new Claim("sub", nameIdClaim.Value));
        }
        
        // 同步其他已有声明
        context.IssuedClaims.AddRange(context.Subject.Claims);
    }

    public async Task IsActiveAsync(IsActiveContext context)
    {
        // 标记用户为活跃状态
        context.IsActive = true;
    }
}

2. 在Startup.cs的ConfigureServices中注册这个服务：

services.AddTransient<IProfileService, CustomProfileService>();

额外提示 #

你提到的“告知Google颁发sub声明”其实就是通过请求openid scope实现的，Google的OpenID Connect端点在收到openid scope请求时，会返回包含sub字段的用户信息，所以确保Scope里加上openid就能让Google返回这个字段了。

内容的提问来源于stack exchange，提问作者Himal Patel