Блог

Использование Asp.Net Core 5.0 с Identity и OpenIddict У меня есть следующее:

   services.AddOpenIddict()
  
    .AddCore(x => {
      x.UseEntityFrameworkCore().UseDbContext<Context>().ReplaceDefaultEntities<Application, Authorization, Scope, Token, Int32>();
    })

    .AddServer(x => {

      x.SetAuthorizationEndpointUris("/connect/authorize")
       .SetLogoutEndpointUris("/connect/logout")
       .SetTokenEndpointUris("/connect/token")
       .SetUserinfoEndpointUris("/connect/userinfo");

      x.RegisterScopes(OpenIddictConstants.Scopes.Profile, OpenIddictConstants.Scopes.Email, OpenIddictConstants.Scopes.OfflineAccess);

      x.AllowAuthorizationCodeFlow();

      x.AddDevelopmentEncryptionCertificate().AddDevelopmentSigningCertificate();

      x.UseAspNetCore()
       .EnableAuthorizationEndpointPassthrough()
       .EnableLogoutEndpointPassthrough()
       .EnableTokenEndpointPassthrough()
       .EnableUserinfoEndpointPassthrough()
       .EnableStatusCodePagesIntegration();

    })

    .AddValidation(x => {
      x.UseLocalServer();
      x.UseAspNetCore();
    });
  

И у меня есть следующий клиент:

   OpenIddictApplicationDescriptor spa = new OpenIddictApplicationDescriptor {
    ClientId = "spa",
    ClientSecret = "secret",
    ConsentType = OpenIddictConstants.ConsentTypes.Implicit,
    PostLogoutRedirectUris = {
      new Uri("https://localhost:5002/oidc-signout")
    },
    RedirectUris = {
      new Uri("https://localhost:5002/oidc-signin"),
      new Uri("https://localhost:5002/oidc-silent-refresh")
    },
    Permissions = {
      OpenIddictConstants.Permissions.Endpoints.Authorization,
      OpenIddictConstants.Permissions.Endpoints.Logout,
      OpenIddictConstants.Permissions.Endpoints.Token,
      OpenIddictConstants.Permissions.GrantTypes.AuthorizationCode,
      OpenIddictConstants.Permissions.GrantTypes.RefreshToken,
      OpenIddictConstants.Permissions.ResponseTypes.Code,
      OpenIddictConstants.Permissions.Scopes.Email,
      OpenIddictConstants.Permissions.Scopes.Profile,
      OpenIddictConstants.Permissions.Prefixes.Scope   "api"
    },
    Requirements = {
      OpenIddictConstants.Requirements.Features.ProofKeyForCodeExchange
    }
  };
  

В клиентском приложении Angular Spa я использую конфигурацию:

 const settings: UserManagerSettings = {
  automaticSilentRenew: true,
  authority: "https://localhost:5000",
  client_id: 'spa',
  client_secret: 'secret',
  filterProtocolClaims: true,
  loadUserInfo: true,
  post_logout_redirect_uri: "https://localhost:5002/oidc-signout",
  redirect_uri: "https://localhost:5002/oidc-signin",
  response_mode: 'query',
  response_type: 'code',
  scope: 'openid profile email offline_access api',
  silent_redirect_uri: 'https://localhost:5002/oidc-silent-refresh'
};
  

Когда я нажимаю на SPA для входа в систему, я перенаправляюсь и получаю сообщение об ошибке:

 The 'offline_access' scope is not allowed.
  

Если я использую его без ‘offline_access’, тогда все работает нормально, например:

 scope: 'openid profile email api'
  

Чего мне не хватает?

Поток токенов обновления должен быть включен, прежде чем можно будет использовать область offline_access.

В вашем Startup.cs вы должны изменить эту строку:
x.AllowAuthorizationCodeFlow();
во что-то вроде этого:
x.AllowAuthorizationCodeFlow().AllowRefreshTokenFlow();

Существует также проблема с GitHub, связанная с вашей проблемой.