Identity Server 4: Bảo vệ Web API bằng Access Token (Part 2)

Part 1: Tìm hiểu về Identity Server 4
Trong bài viết này, mình sẽ hướng dẫn các bạn cách xây dựng 1 web api đơn giản và validate 1 access token.

Cấu hình Server và Port

Bạn sẽ có 2 server:

• Authorization Server: port 9999.
• Web API Server: port 5000.

Đầu tiên, bạn cần đổi port Project IdentityServer4Demo thành 9999

Sau đó, bạn tạo new Project mới, chọn Web API


Sau đó, bạn đổi port project Web API sang port 5000

Cài đặt Access Token Validation

Nhấp phải vào project ProtectedApi, chọn Manage NuGet Packages…
Tìm kiếm package: IdentityServer4.AccessTokenValidation và cài đặt.

Mở file “Startup.cs”, bên trong hàm Configure(), thêm dòng code sau đây trước dòng “app.UseMvc();”:

app.UseIdentityServerAuthentication(new IdentityServerAuthenticationOptions
{
 Authority = "http://localhost:9999",
 ApiName= "customAPI",
 RequireHttpsMetadata = false
});
//add this line to show the ERROR STATUS CODES
app.UseStatusCodePages();

Làm sao để biết API Name?

API Name chính là API Resource. Khi bạn đăng nhập, bạn khai báo scope cần truy cập là gì, thì scope đó thuộc API Resource.

Authorize API

Mở file ValuesController, thêm attribute Authorize trước phương thức GET api/values/{id}.

[Route("api/[controller]")]
[Authorize]
public class ValuesController : Controller
{
 // GET api/values
 [HttpGet]
 public IEnumerable<string> Get()
 {
  return new string[] { "value1", "value2" };
 }

 // GET api/values/5
 [HttpGet("{id}")]
 public string Get(int id)
 {
  return "value";
 }

 // POST api/values
 [HttpPost]
 public void Post([FromBody]string value)
 {
 }

 // PUT api/values/5
 [HttpPut("{id}")]
 public void Put(int id, [FromBody]string value)
 {
 }

 // DELETE api/values/5
 [HttpDelete("{id}")]
 public void Delete(int id)
 {
 }
}

Trong solution này có 2 project: IdentityServer4Demo và ProtectedApi. Bạn phải chạy cả 2 projects này cùng một lúc.
Nhấp phải vào solution => Properties.
Nhấp chọn option Multiple startup project. Chọn Action cho 2 project đó bằng start.


Thiết lập như vậy là xong.
Bạn mở PostMan lên, gọi hàm /connect/token để lấy access token.
Sau đó thực hiện 2 request:
Api/values: không có attribute Authorize, bạn sẽ nhận được dữ liệu trả về.

Api/values/{id}: Trường hợp không có Access token, bạn sẽ nhận được lỗi 401 Unauthorized
Trường hợp có Access token, bạn sẽ nhận được data trả về

Download Sample: http://www.mediafire.com/file/g1y4d1d5514xno5
Chúc các bạn thành công!

Nhatkyhoctap's blog