eShopOnContainers 知多少[3]：Identity microservice

通常，服务所公开的资源和 API 必须仅限受信任的特定用户和客户端访问。那进行 API 级别信任决策的第一步就是身份认证——确定用户身份是否可靠。

在微服务场景中，身份认证通常统一处理。一般有两种实现形式：

基于API 网关中心化认证：要求客户端必须都通过网关访问微服务。（这就要求提供一种安全机制来认证请求是来自于网关。）

基于安全令牌服务（STS）认证：所有的客户端先从STS获取令牌，然后请求时携带令牌完成认证。

而本节所讲的Identity microservice就是使用第二种身份认证方式。

服务简介

Identity microservice 主要用于统一的身份认证和授权，为其他服务提供支撑。

提到认证，大家最熟悉不过的当属Cookie认证了，它也是目前使用最多的认证方式。但Cookie认证也有其局限性：不支持跨域、移动端不友好等。而从当前的架构来看，需要支持移动端、Web端、微服务间的交叉认证授权，所以传统的基于Cookie的本地认证方案就行不通了。我们就需要使用远程认证的方式来提供统一的认证授权机制。
而远程认证方式当属：OAuth2.0和OpenID Connect了。借助OAuth2.0和OpenID Connect即可实现类似下图的认证体系：

而如何实现呢，借助：

ASP.NET Core Identity

IdentityServer4

基于Cookie的认证和基于Token的认证的差别如下所示：

架构模式

该微服务作为支撑服务，并没有选择复杂的架构模式，使用了MVC单层架构，使用EF Core ORM框架用于数据持久化，SQL Server数据库。使用Autofac IOC框架替换了默认依赖注入框架。

项目结构如下所示：

核心技术选型：

MVC单层架构

EF Core

ASP.NET Core Identity

IdentityServer4

SQL Server 数据库

Autofac

PS：对ASP.NET Core Identity、IdentityServer4以及OAuth2.0不了解的，请先行阅读文末参考资料补课！！！

下面就着重讲解ASP.NET Core Identity和IdentityServer4在本服务中的使用。

ASP.NET Core Identity && IdentityServer4简介

ASP.NET Core Identity用于构建ASP.NET Core Web应用程序的成员资格系统，包括成员资格，登录和用户数据（包括登录信息、角色和声明）。
ASP.NET Core Identity封装了User、Role、Claim等身份信息，便于我们快速完成登录功能的实现，并且支持第三方登录（Google、Facebook、QQ、Weixin等，支持开箱即用[第三方身份提供商列表]），以及双重验证，同时内置支持Bearer 认证（令牌认证）。

虽然ASP.NET Core Identity已经完成了绝大多数的功能，且支持第三方登录（第三方为其用户颁发令牌），但若要为本地用户颁发令牌，则需要自己实现令牌的颁发和验证逻辑。换句话说，我们需要自行实现OpenId Connect协议。

OpenID Connect 1.0 是基于OAuth 2.0协议之上的简单身份层，它允许客户端根据授权服务器的认证结果最终确认终端用户的身份，以及获取基本的用户信息。

而IdentityServer4就是为ASP.NET Core量身定制的实现了OpenId Connect和OAuth2.0协议的认证授权中间件。IdentityServer4在ASP.NET Core Identity的基础上，提供令牌的颁发验证等。

认证流程简介

在ASP.NET Core中使用的是基于申明（Claim）的认证，而什么是申明（Cliam）呢？

Claim 是关于一个人或组织的某个主题的陈述，比如：一个人的名称，角色，个人喜好，种族，特权，社团，能力等等。它本质上就是一个键值对，是一种非常通用的保存用户信息的方式，可以很容易的将认证和授权分离开来，前者用来表示用户是/不是什么，后者用来表示用户能/不能做什么。在认证阶段我们通过用户信息获取到用户的Claims，而授权便是对这些的Claims的验证，如：是否拥有Admin的角色，姓名是否叫XXX等等。

认证主要与以下几个核心对象打交道：

Claim（身份信息）

ClaimsIdentity（身份证）

ClaimsPrincipal （身份证持有者）

AuthorizationToken （授权令牌）

IAuthenticationScheme（认证方案）

IAuthenticationHandler（与认证方案对应的认证处理器）

IAuthenticationService （向外提供统一的认证服务接口）

那其认证流程是怎样的呢？