Modular Monolith with DDD 如何通过 IdentityServer4 的 OAuth2 密码授权获取访问令牌并调用 API【免费下载链接】modular-monolith-with-dddFull Modular Monolith application with Domain-Driven Design approach.项目地址: https://gitcode.com/GitHub_Trending/mo/modular-monolith-with-ddd在 modular-monolith-with-ddd一个基于 DDD 的 .NET 8.0 模块化单体示例应用中API 层本身不包含业务逻辑所有受保护的接口都需要先持有访问令牌。README 的 Security 章节说明了该应用使用 IdentityServer 实现 JWT Bearer 认证目前唯一实现的认证方式是 OAuth2 Resource Owner Password Grant用户名/密码表单式认证。这篇文章的任务是把应用跑起来通过POST /connect/token用密码授权获取访问令牌然后带着Authorization: Bearer access_token头调用 API。前提是需要 .NET 8.0 SDK 和一个 MS SQL ServerREADME How to Run 一节的要求。运行环境准备认证流程依赖数据库中已存在的测试用户所以必须按 README How to Run 的顺序完成以下步骤否则 token 请求会因为没有可用账户而失败。安装 .NET 8.0 SDK。安装 MS SQL Server Express或兼容的 SQL Server并用 CreateDatabase_Windows.sql 或 CreateDatabase_Linux.sql 创建空数据库。脚本会添加迁移日志所需的appschema如需修改数据库文件路径请在脚本中调整。用根目录的 build 脚本执行 NUKE 的MigrateDatabase目标运行数据库迁移.\build MigrateDatabase --DatabaseConnectionString connection_string其中connection_string替换为你的数据库连接字符串。执行 SeedDatabase.sql 脚本种子化数据库。README 说明该脚本会创建 2 个测试用户用户名和密码以脚本内容为准。在 API 项目根目录的appsettings.json中配置名为MeetingsConnectionString的连接字符串也可使用 .NET Secrets。README 给出的示例配置{ MeetingsConnectionString: Server(localdb)\\mssqllocaldb;DatabaseMyMeetings;Trusted_ConnectionTrue; }在 IDE 中将 Startup Item 设置为 API 项目而不是 IIS Express然后启动。README 还提供一条可选的整体启动方式在项目根目录执行docker-compose up它会创建 MS SQL Server Database、Database Migrator、Application 三个服务。无论用哪种方式启动认证环节用到的测试用户都来自SeedDatabase.sql。IdentityServer4 密码授权的客户配置获取令牌前先了解 IdentityServer 的默认配置这些值在 IdentityServerConfig.cs 中定义README 的 Authenticate 小节也逐条列出client_id ro.clientclient_secret secretREADME 特别强调这就是字面值而不是“此值保密”的意思scope myMeetingsAPI openid profilegrant_type passwordIdentityServerConfig.cs中该客户端的AllowedGrantTypes为GrantTypes.ResourceOwnerPasswordAllowedScopes包含all、OpenId 和 Profile 标准 scopeAPI 资源myMeetingsAPI关联的 scope 是all。ProfileService.cs 负责向令牌写入 Roles、Name、Email 等声明。请求访问令牌应用启动后向POST /connect/token发送application/x-www-form-urlencoded格式的密码授权请求。仓库自带 Authentication.http 请求文件其中的{{baseUrl}}是运行中 API 的根地址README 的示例请求中为localhost:5000文件内容### Authenticate Member POST {{baseUrl}}/connect/token Content-Type: application/x-www-form-urlencoded grant_typepasswordusernametestMembermail.compasswordtestMemberPassclient_idro.clientclient_secretsecretREADME 给出的完整等价请求示例POST /connect/token HTTP/1.1 Host: localhost:5000 grant_typepassword usernametestMembermail.com passwordtestMemberPass client_idro.client client_secretsecretusername/password使用SeedDatabase.sql创建的测试用户例如testMembermail.com/testMemberPass。Authentication.http 中还给了管理员账户的示例testAdminmail.com/testAdminPass请求方式完全相同。成功判定请求返回后从中取出 access token。README 的说明是该令牌用于后续的授权 API 调用。如果你用 Postman 之类的工具README 建议把令牌保存在工具内并附加到所有 API 调用上具体操作见所用工具的文档。使用令牌调用 API拿到令牌后在请求头中携带它调用受保护接口Authorization: Bearer access_tokenaccess_token替换为上一步实际返回的令牌值。需要注意授权粒度README 说明该应用采用基于 Permissions 的 RBAC每个 User 有多个 Role每个 Role 包含若干 Permission权限判断始终发生在 Controller 层而不是 Role 层例如 Controller 上的[HasPermission(MeetingsPermissions.ProposeMeetingGroup)]特性。同一个testMember与testAdmin账户拥有不同的 Role 集合因此同一个接口用两个令牌调用结果可能不同——令牌有效不代表有权执行该操作。认证失败时如何判断原因ResourceOwnerPasswordValidator.cs 展示了失败路径用户名/密码校验通过 UserAccess 模块的AuthenticateCommand完成如果authenticationResult.IsAuthenticated为 false令牌请求会以TokenRequestErrors.InvalidGrant即 OAuth2 的 invalid_grant 错误拒绝并附带具体的AuthenticationError。因此遇到 invalid_grant 时应核对三件事且都以仓库文档为依据数据库是否执行过SeedDatabase.sql——测试用户只由该脚本创建username/password是否与SeedDatabase.sql中定义的一致client_idro.client、client_secretsecret是否与IdentityServerConfig.cs的默认配置一致。README 也指出当前只有密码授权这一种认证方式不存在其他 grant type 可作替代。下一步令牌获取成功后可继续参考仓库中的 Users.http 请求文件向/userAccess/UserRegistrations等接口发起带 Bearer 头的调用验证不同 Role 的权限边界权限模型与认证流程的完整说明见 README 的 3.9 Security 小节。【免费下载链接】modular-monolith-with-dddFull Modular Monolith application with Domain-Driven Design approach.项目地址: https://gitcode.com/GitHub_Trending/mo/modular-monolith-with-ddd创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考