Использование Google OAuth для защиты веб-сервисов в ядре aspnet

Получил это работает. Как уже упоминалось, я заблудился, и OpenIDConnect, хотя и упоминается в нескольких областях как решение, был отвлекающим маневром для веб-сервисов. Вот что у меня работает сейчас, с максимально полными шагами, которые я могу предоставить (требуется некоторая очистка):

1. Добавьте аутентификацию в пользовательский интерфейс, следуя этим инструкциям.
2. Получите токен JWT как показано в первом сегменте здесь

3. При каждом вызове веб-службы включайте токен JWT в заголовки:

   Имя: Аутентификация

   Значение: носитель {значение токена}

4. Установите пакет JwtBearer NuGet.

5. В методе ConfigureServices Startup в веб-службе после того, как вы AddMvc():

       services.AddAuthorization(options =>
   {   // this policy needed only if you want to restrict to accounts within your domain. otherwise, don't use options. or use whatever options work for you.
           options.AddPolicy("hd",
               policy => policy.RequireAssertion(context =>
                   context.User.HasClaim(c =>
                       c.Type == "hd" &&
                       ("https://accounts.google.com".Equals(c.Issuer) ||
                        "accounts.google.com".Equals(c.Issuer, StringComparison.CurrentCultureIgnoreCase)) &&
                       c.Value == "yourdomain.com"
                   )));
   });
   

6. В методе Configure перед использованием UseMvc():

           JwtBearerOptions jwtOptions = new JwtBearerOptions();
           jwtOptions.Audience = "{the OAuth 2.0 client ID credential from google api developer console}";
           jwtOptions.Authority = "https://accounts.google.com";
           jwtOptions.TokenValidationParameters = new TokenValidationParameters();
           jwtOptions.TokenValidationParameters.ValidIssuers = new List<string>()
           {
               "https://accounts.google.com",
               "accounts.google.com"
           };
   
           app.UseJwtBearerAuthentication(jwtOptions);
   

Возможно, есть более подходящий способ сделать это... если есть, мне интересно его попробовать. На данный момент это работает.

Я постараюсь помочь.

Сначала вам нужно взглянуть на OpenID Connect (который построен на основе OAuth 2.0), помня, что OAuth 2.0 НЕ является протоколом аутентификации.

1) предполагается наличие пользовательского интерфейса Пользовательский интерфейс не требуется для входа в систему, если вы используете службы Google. Вам нужно только проверить наличие и подтвердить токен доступа, токен идентификации (и, возможно, токен обновления). Если токена нет, предположите, что пользователь НЕ прошел аутентификацию, и перенаправьте его на сервер аутентификации с запросом авторизации.

Если есть действительный токен доступа и токен обновления, вы можете предположить, что пользователь прошел проверку подлинности.

Вы также можете проверить токен доступа на наличие правильных «Областей», чтобы определить, авторизованы ли они для вашего конкретного приложения.

Если вы используете Google для сервера авторизации, вы можете проверить параметр hd внутри Identity Token есть желаемый домен.

Кстати: файлы cookie не задействованы.

Надеюсь, это поможет.