Skydda en ASP.NET Core Blazor Web App med OpenID Connect (OIDC)

Den här versionen av artikeln beskriver implementering av OIDC utan att använda -serverdelen för klientdelsmönstret (BFF). BFF-mönstret är användbart för att göra autentiserade begäranden till externa tjänster. Ändra artikelversionsväljaren till OIDC med BFF-mönster om appens specifikation kräver att BFF-mönstret används.

Följande specifikation omfattas:

• Blazor Web App använder det automatiska renderingsläget med global interaktivitet.
• Tjänster för anpassade autentiseringstillståndsleverantörer används av server- och klientappar för att fånga användarens autentiseringstillstånd och överföra det mellan servern och klienten.
• Den här appen är en startpunkt för alla OIDC-autentiseringsflöden. OIDC konfigureras manuellt i appen och förlitar sig inte på Microsoft Entra-ID eller Microsoft Identity Web-paket, och exempelappen kräver inte heller Microsoft Azure värd. Exempelappen kan dock användas med Entra, Microsoft Identity Web och hanteras i Azure.
• Automatisk icke-interaktiv tokenförnyelse.
• Anropar säkert ett (webb)API i serverprojektet för data.

En alternativ upplevelse med Microsoft Authentication Library för .NET, Microsoft Identity Weboch Microsoft Entra IDfinns i Secure an ASP.NET Core Blazor Web App with Microsoft Entra ID.

Exempelapp

Exempelappen består av två projekt:

• BlazorWebAppOidc: Projekt på serversidan för Blazor Web App, som innehåller ett exempel Minimal API- slutpunkt för väderdata.
• BlazorWebAppOidc.Client: Projektet på klientsidan för Blazor Web App.

Få åtkomst till exempelapparna via den senaste versionsmappen från lagringsplatsens rot med följande länk. Projekten finns i mappen BlazorWebAppOidc för .NET 8 eller senare.

Visa eller ladda ned exempelkod (hur du laddar ned)

Blazor Web App projekt på serversidan (BlazorWebAppOidc)

Det BlazorWebAppOidc projektet är projektet på serversidan för Blazor Web App.

Den BlazorWebAppOidc.http filen kan användas för att testa väderdatabegäran. Observera att BlazorWebAppOidc projektet måste köras för att testa slutpunkten och att slutpunkten är hårdkodad i filen. Mer information finns i Använda .http-filer i Visual Studio 2022.

Konfiguration

I det här avsnittet beskrivs hur du konfigurerar exempelappen.

Upprätta klienthemligheten

För testning av lokal utveckling använder du verktyget Secret Manager för att lagra serverappens klienthemlighet under konfigurationsnyckeln Authentication:Schemes:MicrosoftOidc:ClientSecret.

Den exempelappen har inte initierats för verktyget Secret Manager. Använd ett kommandogränssnitt, till exempel PowerShell-kommandogränssnittet Developer i Visual Studio, för att köra följande kommando. Innan du kör kommandot ändrar du katalogen med kommandot cd till serverprojektets katalog. Kommandot upprättar en identifierare för användarhemligheter (<UserSecretsId> i serverappens projektfil):

dotnet user-secrets init

Kör följande kommando för att ange klienthemligheten. Platshållaren {SECRET} är klienthemligheten som hämtas från appens registrering:

dotnet user-secrets set "Authentication:Schemes:MicrosoftOidc:ClientSecret" "{SECRET}"

Om du använder Visual Studio kan du bekräfta att hemligheten har angetts genom att högerklicka på serverprojektet i Solution Explorer och välja Hantera användarhemligheter.

Konfigurera appen

Följande OpenIdConnectOptions konfiguration finns i projektets Program-fil vid anropet till AddOpenIdConnect:

• SignInScheme: Anger det autentiseringsschema som motsvarar mellanprogrammet som ansvarar för att bevara användarens identity efter en lyckad autentisering. OIDC-hanteraren måste använda ett inloggningsschema som kan bevara användarautentiseringsuppgifter mellan begäranden. Följande rad finns bara i demonstrationssyfte. Om det utelämnas används DefaultSignInScheme som ett återställningsvärde.

  oidcOptions.SignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;
  

• Omfång för openid och profile (Scope) (valfritt): Omfången openid och profile konfigureras också som standard eftersom de krävs för att OIDC-hanteraren ska fungera, men dessa kan behöva läggas till igen om omfången ingår i Authentication:Schemes:MicrosoftOidc:Scope konfigurationen. För allmän konfigurationsvägledning, se Konfiguration i ASP.NET Core och konfiguration i ASP.NET Core Blazor.

  oidcOptions.Scope.Add(OpenIdConnectScope.OpenIdProfile);
  

• SaveTokens: Definierar om åtkomst- och uppdateringstoken ska lagras i AuthenticationProperties efter en lyckad auktorisering. Den här egenskapen är inställd på false för att minska storleken på den slutliga autentiseringen cookie.

  oidcOptions.SaveTokens = false;
  

• Omfång för offlineåtkomst (Scope): Omfånget offline_access krävs för uppdateringstoken.

  oidcOptions.Scope.Add(OpenIdConnectScope.OfflineAccess);
  

• Authority och ClientId: Anger utfärdare och klient-ID för OIDC-anrop.

  oidcOptions.Authority = "{AUTHORITY}";
  oidcOptions.ClientId = "{CLIENT ID}";
  

  Exempel:

  • Behörighet ({AUTHORITY}): https://login.microsoftonline.com/aaaabbbb-0000-cccc-1111-dddd2222eeee/v2.0/ (använder hyresgäst-ID aaaabbbb-0000-cccc-1111-dddd2222eeee)
  • Klient-ID ({CLIENT ID}): 00001111-aaaa-2222-bbbb-3333cccc4444

  oidcOptions.Authority = "https://login.microsoftonline.com/aaaabbbb-0000-cccc-1111-dddd2222eeee/v2.0/";
  oidcOptions.ClientId = "00001111-aaaa-2222-bbbb-3333cccc4444";
  

  Exempel på "common"-auktoritet i Microsoft Azure:

  Den "gemensamma" auktoriteten ska användas för appar med flera klientorganisationer. Du kan också använda den "vanliga" myndigheten för appar med en enda klientorganisation, men en anpassad IssuerValidator krävs, vilket visas senare i det här avsnittet.

  oidcOptions.Authority = "https://login.microsoftonline.com/common/v2.0/";
  

• ResponseType: Konfigurerar OIDC-hanteraren för att endast utföra auktoriseringskodflödet. Implicita bidrag och hybridflöden är onödiga i det här läget. OIDC-hanteraren begär automatiskt lämpliga token med hjälp av koden som returneras från auktoriseringsslutpunkten.

  oidcOptions.ResponseType = OpenIdConnectResponseType.Code;
  

  Anteckning

  I entra- eller Azure-portalens implicit beviljande och hybridflöden appregistreringskonfiguration, markerar inte antingen kryssrutan för auktoriseringsslutpunkten för att returnera åtkomsttoken eller ID-token.

• MapInboundClaims och konfiguration av NameClaimType och RoleClaimType: Många OIDC-servrar använder "name" och "role" i stället för SOAP/WS-Fed standardvärden i ClaimTypes. När MapInboundClaims är inställt på falseutför hanteraren inte anspråksmappningar och anspråksnamnen från JWT används direkt av appen. I följande exempel ställs rollanspråkstypen in på "roles", vilket passar för Microsoft Entra ID (ME-ID). Mer information finns i dokumentationen för din identity provider.

  Anteckning

  MapInboundClaims måste anges till false för de flesta OIDC-leverantörer, vilket förhindrar att anspråk byts namn.

  oidcOptions.MapInboundClaims = false;
  oidcOptions.TokenValidationParameters.NameClaimType = "name";
  oidcOptions.TokenValidationParameters.RoleClaimType = "roles";
  

• Sökvägskonfiguration: Sökvägar måste matcha omdirigerings-URI:n (återanrop för inloggning) och omdirigering efter utloggning (återanrop efter utloggning) som konfigurerats när applikationen registreras hos OIDC-leverantören. I Azure-portalen konfigureras sökvägarna på bladet autentisering i appens registrering. Både inloggnings- och utloggningssökvägarna måste registreras som omdirigerings-URI:er. Standardvärdena är /signin-oidc och /signout-callback-oidc.

  • CallbackPath: Sökvägen för begäran i appens bassökväg där användaragenten returneras.

    Konfigurera återkopplingssökvägen efter utloggning i appens OIDC-leverantörsregistrering. I följande exempel är platshållaren {PORT} appens port:

    https://localhost:{PORT}/signin-oidc

    Anteckning

    En port krävs inte för localhost adresser när du använder Microsoft Entra-ID. De flesta andra OIDC-leverantörer kräver rätt port.

  • SignedOutCallbackPath (konfigurationsnyckel: "SignedOutCallbackPath"): Begärans sökväg inom appens bassökväg som fångas upp av OIDC-hanteraren, där användaragenten först returneras efter utloggning från identity-leverantören. Exempelappen anger inte något värde för sökvägen eftersom standardvärdet "/signout-callback-oidc" används. Efter att ha uppsnappat begäran omdirigerar OIDC-hanteraren till SignedOutRedirectUri eller RedirectUri, om detta anges.

    Konfigurera den utloggade motringningssökvägen i appens OIDC-providerregistrering. I följande exempel är platshållaren {PORT} appens port:

    https://localhost:{PORT}/signout-callback-oidc

    Anteckning

    När du använder Microsoft Entra ID anger du sökvägen i konfigurationen för Web-plattformens omdirigerings-URI-poster i Entra- eller Azure-portalen. En port krävs inte för localhost adresser när du använder Entra. De flesta andra OIDC-leverantörer kräver rätt port. Om du inte lägger till URI för den utloggade återanropsvägen i appens registrering i Entra, vägrar Entra att dirigera användaren tillbaka till appen och uppmanar dem istället att bara stänga webbläsarfönstret.

  • RemoteSignOutPath: Begäranden som tas emot på den här sökvägen gör att hanteraren anropar utloggning med hjälp av utloggningsschemat.

    I följande exempel är platshållaren {PORT} appens port:

    https://localhost/signout-oidc

    Anteckning

    När du använder Microsoft Entra-ID anger du url:en för utloggning Front-channel i Entra- eller Azure-portalen. En port krävs inte för localhost adresser när du använder Entra. De flesta andra OIDC-leverantörer kräver rätt port.

    oidcOptions.CallbackPath = new PathString("{PATH}");
    oidcOptions.SignedOutCallbackPath = new PathString("{PATH}");
    oidcOptions.RemoteSignOutPath = new PathString("{PATH}");
    

    Exempel (standardvärden):

    oidcOptions.CallbackPath = new PathString("/signin-oidc");
    oidcOptions.SignedOutCallbackPath = new PathString("/signout-callback-oidc");
    oidcOptions.RemoteSignOutPath = new PathString("/signout-oidc");
    

• (Endast Microsoft Azure med den "vanliga" slutpunkten) TokenValidationParameters.IssuerValidator: Många OIDC-leverantörer arbetar med standardutfärdarverifieraren, men vi måste ta hänsyn till utfärdaren som parameteriseras med klient-ID :t ({TENANT ID}) som returneras av https://login.microsoftonline.com/common/v2.0/.well-known/openid-configuration. För mer information, se SecurityTokenInvalidIssuerException med OpenID Connect och Azure AD:s "common"-endpunkt (AzureAD/azure-activedirectory-identitymodel-extensions-for-dotnet #1731).

  Endast för appar som använder Microsoft Entra-ID eller Azure AD B2C med den "vanliga" slutpunkten:

  var microsoftIssuerValidator = AadIssuerValidator.GetAadIssuerValidator(oidcOptions.Authority);
  oidcOptions.TokenValidationParameters.IssuerValidator = microsoftIssuerValidator.Validate;
  

Exempelappkod

Kontrollera exempelappen efter följande funktioner:

Mer information om (webb)API-anrop med hjälp av en tjänstabstraktion i Blazor Web Apps finns i Anropa ett webb-API från en ASP.NET Core Blazor-app.

Klientsidesprojekt Blazor Web App (BlazorWebAppOidc.Client)

Det BlazorWebAppOidc.Client projektet är projektet på klientsidan för Blazor Web App.

Om användaren behöver logga in eller ut, krävs det en fullständig omladdning av sidan.

Exempelappen innehåller endast ett användarnamn och e-postmeddelande i visningssyfte. De innehåller inte tokens som autentiserar mot servern när efterföljande begäranden görs, vilket fungerar separat med hjälp av en cookie som ingår i HttpClient-begäranden till servern.

Den här versionen av artikeln täcker implementering av OIDC med mönstret Backend for Frontend (BFF). Ändra artikelversionsväljaren till OIDC utan BFF-mönster om appens specifikation inte kräver att BFF-mönstret används.

Följande specifikation omfattas:

• Blazor Web App använder det automatiska renderingsläget med global interaktivitet.
• Tjänster för anpassade autentiseringstillståndsleverantörer används av server- och klientappar för att fånga användarens autentiseringstillstånd och överföra det mellan servern och klienten.
• Den här appen är en startpunkt för alla OIDC-autentiseringsflöden. OIDC konfigureras manuellt i appen och förlitar sig inte på Microsoft Entra-ID eller Microsoft Identity Web-paket, och exempelappen kräver inte heller Microsoft Azure värd. Exempelappen kan dock användas med Entra, Microsoft Identity Web och hanteras i Azure.
• Automatisk icke-interaktiv tokenförnyelse.
• BFF-mönstret (Backend for Frontend) används med hjälp av .NET Aspire för tjänstidentifiering och YARP- för proxyförfrågningar till väderprognos-slutpunkten i backend-appen.
  • Ett serverdelswebb-API använder JWT-ägarautentisering för att verifiera JWT-token som sparats av Blazor Web App i inloggnings-cookie.
  • Aspire förbättrar upplevelsen av att skapa .NET-molnbaserade appar. Det ger en konsekvent, åsiktsuppsättning med verktyg och mönster för att skapa och köra distribuerade appar.
  • YARP (Yet Another Reverse Proxy) är ett bibliotek som används för att skapa en omvänd proxyserver.

Mer information om .NET Aspirefinns i Allmän tillgänglighet för .NET Aspire: Förenkling av .NET Cloud-Native Utveckling (maj, 2024).

Förutsättning

.NET Aspire kräver Visual Studio version 17.10 eller senare.

Exempelapp

Exempelappen består av fem projekt:

• .NET Aspire:
  • Aspire.AppHost: Används för att hantera högnivåorkestreringsproblem för appen.
  • Aspire.ServiceDefaults: Innehåller standardkonfigurationer för .NET Aspire appar som kan utökas och anpassas efter behov.
• MinimalApiJwt: Backend-webb-API som innehåller ett Minimal API-exempel på en slutpunkt för väderdata.
• BlazorWebAppOidc: Projektet på serversidan för Blazor Web App.
• BlazorWebAppOidc.Client: Projektet på klientsidan för Blazor Web App.

Få åtkomst till exempelapparna via den senaste versionsmappen från lagringsplatsens rot med följande länk. Projekten finns i mappen BlazorWebAppOidcBff för .NET 8 eller senare.

Visa eller ladda ned exempelkod (hur du laddar ned)

.NET Aspire projekt

Mer information om hur du använder .NET Aspire och information om .AppHost och .ServiceDefaults projekt i exempelappen finns i .NET Aspire dokumentationen.

Bekräfta att du har uppfyllt kraven för .NET Aspire. Mer information finns i avsnittet Krav i Snabbstart: Skapa din första .NET Aspire app.

Exempelappen konfigurerar endast en osäker HTTP-startprofil (http) för användning under utvecklingstestning. Mer information, inklusive ett exempel på profiler för osäkra och säkra startinställningar, finns i Tillåt osäker transport i .NET Aspire (.NET Aspire dokumentation).

Blazor Web App projekt på serversidan (BlazorWebAppOidc)

Det BlazorWebAppOidc projektet är projektet på serversidan för Blazor Web App. Projektet använder YARP- till proxybegäranden till en slutpunkt för väderprognoser i serverdelswebb-API-projektet (MinimalApiJwt) med access_token som lagras i autentiseringen cookie.

Den BlazorWebAppOidc.http filen kan användas för att testa väderdatabegäran. Observera att BlazorWebAppOidc projektet måste köras för att testa slutpunkten och att slutpunkten är hårdkodad i filen. Mer information finns i Använda .http-filer i Visual Studio 2022.

Konfiguration

I det här avsnittet beskrivs hur du konfigurerar exempelappen.

Upprätta klienthemligheten

För testning av lokal utveckling använder du verktyget Secret Manager för att lagra serverappens klienthemlighet under konfigurationsnyckeln Authentication:Schemes:MicrosoftOidc:ClientSecret.

Den exempelappen har inte initierats för verktyget Secret Manager. Använd ett kommandogränssnitt, till exempel PowerShell-kommandogränssnittet Developer i Visual Studio, för att köra följande kommando. Innan du kör kommandot ändrar du katalogen med kommandot cd till serverprojektets katalog. Kommandot upprättar en identifierare för användarhemligheter (<UserSecretsId> i serverappens projektfil):

dotnet user-secrets init

Kör följande kommando för att ange klienthemligheten. Platshållaren {SECRET} är klienthemligheten som hämtas från appens registrering:

dotnet user-secrets set "Authentication:Schemes:MicrosoftOidc:ClientSecret" "{SECRET}"

Om du använder Visual Studio kan du bekräfta att hemligheten har angetts genom att högerklicka på serverprojektet i Solution Explorer och välja Hantera användarhemligheter.

Konfigurera appen

Följande OpenIdConnectOptions konfiguration finns i projektets Program-fil vid anropet till AddOpenIdConnect:

• SignInScheme: Anger det autentiseringsschema som motsvarar mellanprogrammet som ansvarar för att bevara användarens identity efter en lyckad autentisering. OIDC-hanteraren måste använda ett inloggningsschema som kan bevara användarautentiseringsuppgifter mellan begäranden. Följande rad finns bara i demonstrationssyfte. Om det utelämnas används DefaultSignInScheme som ett återställningsvärde.

  oidcOptions.SignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;
  

• Omfång för openid och profile (Scope) (valfritt): Omfången openid och profile konfigureras också som standard eftersom de krävs för att OIDC-hanteraren ska fungera, men dessa kan behöva läggas till igen om omfången ingår i Authentication:Schemes:MicrosoftOidc:Scope konfigurationen. För allmän konfigurationsvägledning, se Konfiguration i ASP.NET Core och konfiguration i ASP.NET Core Blazor.

  oidcOptions.Scope.Add(OpenIdConnectScope.OpenIdProfile);
  

• SaveTokens: Definierar om åtkomst- och uppdateringstoken ska lagras i AuthenticationProperties efter en lyckad auktorisering. Värdet är inställt på true för att autentisera begäranden om väderdata från serverdelswebb-API-projektet (MinimalApiJwt).

  oidcOptions.SaveTokens = true;
  

• Omfång för offlineåtkomst (Scope): Omfånget offline_access krävs för uppdateringstoken.

  oidcOptions.Scope.Add(OpenIdConnectScope.OfflineAccess);
  

• Omfång för att hämta väderdata från webb-API:et (Scope): Detta är nödvändigt för att backend webb-API-projektet (MinimalApiJwt) ska kunna verifiera åtkomsttoken med bärare-JWT.

  oidcOptions.Scope.Add("{APP ID URI}/{API NAME}");
  

  Anteckning

  När du använder Microsoft Entra-ID konfigureras Weather.Get-omfånget i Azure- eller Entra-portalen under Exponera ett API-.

  Exempel:

  • App-ID-URI ({APP ID URI}): https://{DIRECTORY NAME}.onmicrosoft.com/{CLIENT ID}
    • Katalognamn ({DIRECTORY NAME}): contoso
    • Program-ID (klient) ({CLIENT ID}): 00001111-aaaa-2222-bbbb-3333cccc4444
  • Räckvidd konfigurerad för väderdata från MinimalApiJwt ({API NAME}): Weather.Get

  oidcOptions.Scope.Add("https://contoso.onmicrosoft.com/00001111-aaaa-2222-bbbb-3333cccc4444/Weather.Get");
  

  Föregående exempel gäller en app som är registrerad i en klientorganisation med en AAD B2C-klienttyp. Om appen är registrerad i en ME-ID klientorganisation skiljer sig app-ID-URI:n, vilket innebär att omfånget blir annorlunda.

  Exempel:

  • App ID-URI ({APP ID URI}): api://{CLIENT ID} och applikation (klient) ID ({CLIENT ID}): 00001111-aaaa-2222-bbbb-3333cccc4444
  • Räckvidd konfigurerad för väderdata från MinimalApiJwt ({API NAME}): Weather.Get

  oidcOptions.Scope.Add("api://00001111-aaaa-2222-bbbb-3333cccc4444/Weather.Get");
  

• Authority och ClientId: Anger utfärdare och klient-ID för OIDC-anrop.

  oidcOptions.Authority = "{AUTHORITY}";
  oidcOptions.ClientId = "{CLIENT ID}";
  

  Exempel:

  • Behörighet ({AUTHORITY}): https://login.microsoftonline.com/aaaabbbb-0000-cccc-1111-dddd2222eeee/v2.0/ (använder hyresgäst-ID aaaabbbb-0000-cccc-1111-dddd2222eeee)
  • Klient-ID ({CLIENT ID}): 00001111-aaaa-2222-bbbb-3333cccc4444

  oidcOptions.Authority = "https://login.microsoftonline.com/aaaabbbb-0000-cccc-1111-dddd2222eeee/v2.0/";
  oidcOptions.ClientId = "00001111-aaaa-2222-bbbb-3333cccc4444";
  

  Exempel på "common"-auktoritet i Microsoft Azure:

  Den "gemensamma" auktoriteten ska användas för appar med flera klientorganisationer. Du kan också använda den "vanliga" myndigheten för appar med en enda klientorganisation, men en anpassad IssuerValidator krävs, vilket visas senare i det här avsnittet.

  oidcOptions.Authority = "https://login.microsoftonline.com/common/v2.0/";
  

• ResponseType: Konfigurerar OIDC-hanteraren för att endast utföra auktoriseringskodflödet. Implicita bidrag och hybridflöden är onödiga i det här läget. OIDC-hanteraren begär automatiskt lämpliga token med hjälp av koden som returneras från auktoriseringsslutpunkten.

  oidcOptions.ResponseType = OpenIdConnectResponseType.Code;
  

  Anteckning

  När du använder Microsoft Entra-ID ska du inte markera kryssrutan för auktoriseringsslutpunkten för att returnera Åtkomsttoken eller ID-token i Implicit beviljande och hybridflöden appregistreringskonfiguration.

• MapInboundClaims och konfiguration av NameClaimType och RoleClaimType: Många OIDC-servrar använder "name" och "role" i stället för SOAP/WS-Fed standardvärden i ClaimTypes. När MapInboundClaims är inställt på falseutför hanteraren inte anspråksmappningar och anspråksnamnen från JWT används direkt av appen. I följande exempel ställs rollanspråkstypen in på "roles", vilket passar för Microsoft Entra ID (ME-ID). Mer information finns i dokumentationen för din identity provider.

  Anteckning

  MapInboundClaims måste anges till false för de flesta OIDC-leverantörer, vilket förhindrar att anspråk byts namn.

  oidcOptions.MapInboundClaims = false;
  oidcOptions.TokenValidationParameters.NameClaimType = "name";
  oidcOptions.TokenValidationParameters.RoleClaimType = "roles";
  

• Sökvägskonfiguration: Sökvägar måste matcha omdirigerings-URI:n (återanrop för inloggning) och omdirigering efter utloggning (återanrop efter utloggning) som konfigurerats när applikationen registreras hos OIDC-leverantören. I Azure-portalen konfigureras sökvägarna på bladet autentisering i appens registrering. Både inloggnings- och utloggningssökvägarna måste registreras som omdirigerings-URI:er. Standardvärdena är /signin-oidc och /signout-callback-oidc.

  Konfigurera återställningssökvägen för utloggade i appens OIDC-provider-registrering. I följande exempel är platshållaren {PORT} appens port:

  https://localhost:{PORT}/signin-oidc

  Anteckning

  En port krävs inte för localhost adresser när du använder Microsoft Entra-ID. De flesta andra OIDC-leverantörer kräver rätt port.

  • SignedOutCallbackPath (konfigurationsnyckel: "SignedOutCallbackPath"): Begäransökvägen inom appens bassökväg som fångas upp av OIDC-hanteraren där användaragenten först återförs efter utloggning från leverantören identity. Exempelappen anger inte något värde för sökvägen eftersom standardvärdet "/signout-callback-oidc" används. När begäran har fångats upp omdirigerar OIDC-hanteraren till SignedOutRedirectUri eller RedirectUri, om det är angivet.

    Konfigurera den utloggade motringningssökvägen i appens OIDC-providerregistrering. I följande exempel är platshållaren {PORT} appens port:

    https://localhost:{PORT}/signout-callback-oidc

    Anteckning

    När du använder Microsoft Entra-ID anger du sökvägen i Web-plattformskonfigurationens omdirigerings-URI poster i Entra- eller Azure-portalen. En port krävs inte för localhost adresser när du använder Entra. De flesta andra OIDC-leverantörer kräver rätt port. Om du inte lägger till URI:n för återkopplingssökvägen vid utloggning i appens registrering i Entra, vägrar Entra att omdirigera användaren tillbaka till appen och ber dem istället att stänga webbläsarfönstret.

  • RemoteSignOutPath: Begäranden som tas emot på den här sökvägen gör att hanteraren anropar utloggning med hjälp av utloggningsschemat.

    I följande exempel är platshållaren {PORT} appens port:

    https://localhost/signout-oidc

    Anteckning

    När du använder Microsoft Entra-ID anger du url:en för utloggning Front-channel i Entra- eller Azure-portalen. En port krävs inte för localhost adresser när du använder Entra. De flesta andra OIDC-leverantörer kräver rätt port.

    oidcOptions.CallbackPath = new PathString("{PATH}");
    oidcOptions.SignedOutCallbackPath = new PathString("{PATH}");
    oidcOptions.RemoteSignOutPath = new PathString("{PATH}");
    

    Exempel (standardvärden):

    oidcOptions.CallbackPath = new PathString("/signin-oidc");
    oidcOptions.SignedOutCallbackPath = new PathString("/signout-callback-oidc");
    oidcOptions.RemoteSignOutPath = new PathString("/signout-oidc");
    

• (Endast Microsoft Azure med den "vanliga" slutpunkten) TokenValidationParameters.IssuerValidator: Många OIDC-leverantörer arbetar med standardutfärdarverifieraren, men vi måste ta hänsyn till utfärdaren som parameteriseras med klient-ID :t ({TENANT ID}) som returneras av https://login.microsoftonline.com/common/v2.0/.well-known/openid-configuration. För mer information, se SecurityTokenInvalidIssuerException med OpenID Connect och Azure AD:s "common"-endpunkt (AzureAD/azure-activedirectory-identitymodel-extensions-for-dotnet #1731).

  Endast för appar som använder Microsoft Entra-ID eller Azure AD B2C med den "vanliga" slutpunkten:

  var microsoftIssuerValidator = AadIssuerValidator.GetAadIssuerValidator(oidcOptions.Authority);
  oidcOptions.TokenValidationParameters.IssuerValidator = microsoftIssuerValidator.Validate;
  

Exempelappkod

Kontrollera exempelappen efter följande funktioner:

Mer information om (webb)API-anrop med hjälp av en tjänstabstraktion i Blazor Web Apps finns i Anropa ett webb-API från en ASP.NET Core Blazor-app.

Klientsidesprojekt Blazor Web App (BlazorWebAppOidc.Client)

Det BlazorWebAppOidc.Client projektet är projektet på klientsidan för Blazor Web App.

Om användaren behöver logga in eller ut, krävs det en fullständig omladdning av sidan.

Exempelappen innehåller endast ett användarnamn och e-postmeddelande i visningssyfte. De innehåller inte tokens som autentiserar mot servern när efterföljande begäranden görs, vilket fungerar separat med hjälp av en cookie som ingår i HttpClient-begäranden till servern.

Backend-webb-API-projekt (MinimalApiJwt)

MinimalApiJwt-projektet är ett bakände-webb-API för flera frontend-projekt. Projektet konfigurerar en Minimal API- slutpunkt för väderdata. Begäranden från Blazor Web App projekt på serversidan (BlazorWebAppOidc) skickas till MinimalApiJwt projektet.

Konfiguration

Konfigurera projektet i JwtBearerOptions för AddJwtBearer-anropet i projektets Program-fil:

• Audience: Anger målgruppen för en mottagen OIDC-token.

  jwtOptions.Audience = "{APP ID URI}";
  

  Anteckning

  När du använder Microsoft Entra-ID matchar du värdet till sökvägen till den program-ID-URI konfigurerat när du lägger till Weather.Get-omfånget under Exponera ett API i Azure- eller Entra-portalen.

  Exempel:

  App-ID URI ({APP ID URI}): https://{DIRECTORY NAME}.onmicrosoft.com/{CLIENT ID}:

  • Katalognamn ({DIRECTORY NAME}): contoso
  • Program-ID (klient) ({CLIENT ID}): 00001111-aaaa-2222-bbbb-3333cccc4444

  jwtOptions.Audience = "https://contoso.onmicrosoft.com/00001111-aaaa-2222-bbbb-3333cccc4444";
  

  Föregående exempel gäller en app som är registrerad i en klientorganisation med en AAD B2C-klienttyp. Om appen är registrerad i en ME-ID klientorganisation skiljer sig app-ID-URI:n, vilket innebär att målgruppen skiljer sig.

  Exempel:

  App ID-URI ({APP ID URI}): api://{CLIENT ID} och applikation (klient) ID ({CLIENT ID}): 00001111-aaaa-2222-bbbb-3333cccc4444

  jwtOptions.Audience = "api://00001111-aaaa-2222-bbbb-3333cccc4444";
  

• Authority: Anger auktoriteten för att göra OIDC-anrop. Matcha värdet med den auktoritet som konfigurerats för OIDC-hanteraren i BlazorWebAppOidc/Program.cs:

  jwtOptions.Authority = "{AUTHORITY}";
  

  Exempel:

  Behörighet ({AUTHORITY}): https://login.microsoftonline.com/aaaabbbb-0000-cccc-1111-dddd2222eeee/v2.0/ (använder hyresgäst-ID aaaabbbb-0000-cccc-1111-dddd2222eeee)

  jwtOptions.Authority = "https://login.microsoftonline.com/aaaabbbb-0000-cccc-1111-dddd2222eeee/v2.0/";
  

  Föregående exempel gäller en app som är registrerad i en klientorganisation med en AAD B2C-klienttyp. Om appen är registrerad i en ME-ID klientorganisation, ska myndigheten matcha utfärdaren (iss) för den JWT som returneras av identity-leverantören.

  jwtOptions.Authority = "https://sts.windows.net/aaaabbbb-0000-cccc-1111-dddd2222eeee/";
  

Minimalt API för väderdata

Säker dataslutpunkt för väderprognoser i projektets Program-fil:

app.MapGet("/weather-forecast", () =>
{
    var forecast = Enumerable.Range(1, 5).Select(index =>
        new WeatherForecast
        (
            DateOnly.FromDateTime(DateTime.Now.AddDays(index)),
            Random.Shared.Next(-20, 55),
            summaries[Random.Shared.Next(summaries.Length)]
        ))
        .ToArray();
    return forecast;
}).RequireAuthorization();

Utökningsmetoden RequireAuthorization kräver auktorisering för routedefinitionen. För alla kontrollanter som du lägger till i projektet lägger du till attributet [Authorize] till kontrollanten eller åtgärden.