Как сделать пользовательские утверждения доступными в запросах API

Итак, я заказываю, чтобы моя пользовательская претензия была доступна в каждом запросе API. Мне нужно было сделать следующее при настройке ApiResource при запуске IdentityServer.

//Config.cs
public static IEnumerable<ApiResource> GetApiResources()
{
    ApiResource apiResource = new ApiResource("api1", "DG Analytics Portal API")
    {
        UserClaims =
        {
            JwtClaimTypes.Name,
            JwtClaimTypes.Email,
            AnalyticsConstants.TenantRoleClaim // my custom claim key/name
        }
    };

    return new List<ApiResource>
    {
        apiResource
    };
}

Этот метод передается services.AddInMemoryApiResources (или любому другому методу хранения, который вы используете)

IIdentityServerBuilder builder = services
                .AddIdentityServer(options =>
                {
                    options.Events.RaiseErrorEvents = true;
                    options.Events.RaiseInformationEvents = true;
                    options.Events.RaiseFailureEvents = true;
                    options.Events.RaiseSuccessEvents = true;
                })
                .AddInMemoryIdentityResources(Config.GetIdentityResources())
                .AddInMemoryApiResources(Config.GetApiResources()) // here
                .AddInMemoryClients(Config.GetClients())
                .AddAspNetIdentity<ApplicationUser>();

При такой настройке всякий раз, когда происходит попадание в конечную точку API, мое пользовательское требование TenantRole присутствует, поэтому я могу просто выполнить User.FindFirst(AnalyticsConstants.TenantRoleClaim), чтобы получить его.

Вам нужно будет определить ресурсы и области идентификации а-ля:

http://docs.identityserver.io/en/latest/topics/resources.html

Затем убедитесь, что они доступны вашей реализации IProfileService или IClaimsService на вашем сервере идентификации:

http://docs.identityserver.io/en/latest/reference/profileservice.html

Они могут быть либо включены в сами токены, либо иметь доступ через конечную точку информации о пользователе по мере необходимости — это разумно, если данные вашего утверждения особенно велики (например, в 1000 символов).

Я написал этот расширитель для использования в MVC 5, но, поскольку он использует контекст http и системную безопасность (а не диспетчер пользователей или идентификацию), я предполагаю, что внутренности этого будут работать на MVC6.

public static bool UserHasSpecificClaim(this HtmlHelper h, string claimType, string claimValue)
{
    // get user claims
    var user = HttpContext.Current.User as System.Security.Claims.ClaimsPrincipal;

    if (user != null)
    {
        // Get the specific claim if any
        return user.Claims.Any(c => c.Type == claimType && c.Value == claimValue);
    }

    return false;
}

Вы можете использовать ClaimsPrincipal.FindFirst() для доступа к персонализированным заявкам.

Документ: https://docs.microsoft.com/en-us/dotnet/api/system.security.claims.claimsprincipal.findfirst?view=netcore-2.1

Пример: User.FindFirst("your_claim_key").Value