OAuth2/OIDC实战：用OpenIddict实现.NET Core单点登录系统

一、OAuth2与OpenID Connect核心概念解析

1.1 OAuth2.0协议基础架构

OAuth2.0是一种授权框架，包含四个核心角色：

• **资源所有者(Resource Owner)**：通常是终端用户

• **客户端(Client)**：请求访问资源的应用

• **授权服务器(Authorization Server)**：颁发访问令牌

• **资源服务器(Resource Server)**：托管受保护资源

标准授权流程包括：

• 授权码模式(最安全)

• 隐式模式(逐渐淘汰)

• 密码模式(不推荐)

• 客户端凭证模式(服务间通信)

1.2 OpenID Connect扩展协议

OIDC在OAuth2基础上添加身份层：

• ID Token(JWT格式)

• UserInfo端点

• 标准声明(claims)

• 会话管理

核心规范：

• 核心(Core)：定义基本功能

• 发现(Discovery)：动态配置

• 动态注册(Dynamic Registration)

• 会话管理(Session Management)

二、OpenIddict框架深度剖析

2.1 架构设计原理

OpenIddict采用模块化设计：

+---------------------+
|   ASP.NET Core      |
|   Authentication    |
+----------+----------+
           |
+----------v----------+
|   OpenIddict.Core   | <-> 存储抽象
+----------+----------+
           |
+----------v----------+
| EntityFrameworkCore | (或其他存储提供程序)
+---------------------+

2.2 核心组件说明

• ApplicationManager：管理客户端应用

• AuthorizationManager：授权记录

• ScopeManager：权限范围管理

• TokenManager：令牌生命周期管理

三、生产级实现方案

3.1 认证服务器完整配置

数据库上下文增强配置

services.AddDbContext<AuthDbContext>(options => {
    options.UseSqlServer(config.GetConnectionString("AuthDB"));
    options.UseOpenIddict()
           .UseEntityFrameworkCore()
           .ReplaceDefaultEntities<Guid>(); // 使用Guid作为主键
});

高级安全配置

services.AddOpenIddict()
    .AddServer(options => {
        // 设置端点路径
        options.SetAuthorizationEndpointUris("/connect/authorize")
               .SetTokenEndpointUris("/connect/token")
               .SetUserinfoEndpointUris("/connect/userinfo")
               .SetLogoutEndpointUris("/connect/logout");
        
        // 生产环境证书配置
        options.AddEncryptionCertificate(
            new X509Certificate2("encryption-cert.pfx", "password"));
        options.AddSigningCertificate(