Atis.Identity.Sso 2.0.0-preview.4

Atis.Identity.Sso

ATIS MVC WebUI-lərini atis-service-user-in OpenIddict serverinə OIDC relying party (RP) kimi qoşan paket. Servis protokolu görmür: bir qeydiyyat çağırışı + bir endpoint çağırışı.

// Program.cs
builder.ConfigureAtisSerilog();
builder.Services.AddAtisWebUiHost(builder.Configuration, Assembly.GetExecutingAssembly());
builder.Services.AddAtisSsoRelyingParty(builder.Configuration, o => o.AddPermissionPolicies(StaffPermissions.All));

var app = builder.Build();
app.UseAtisWebUiHost();            // routing → authentication → authorization → session
app.MapAtisSso();                  // /account/login, /account/logout
app.MapControllerRoute("default", "{controller=Home}/{action=Index}/{id?}");
app.Run();

"Sso": {
  "Authority": "https://user.atis.edu.az",
  "ClientId": "atis-staff",
  "ClientSecret": "<secret store-dan — appsettings.json-a YAZILMIR>",
  "DataProtection": { "ApplicationName": "atis-staff", "RedisConnection": "redis:6379" }
}

Nə qurulur

Sso:Scopes yazılanda defoltu əvəz edir (ASP.NET Core binder-i massivə əlavə etdiyi üçün xassənin defoltu boşdur; openid mütləqdir, validator yoxlayır).

Endpoint-lər (MapAtisSso)

• GET /account/login?returnUrl=/staff — OIDC challenge, sonda returnUrl-ə qayıdır. Yalnız kökə nisbi lokal yol (/x) qəbul olunur; //evil, mütləq URL → / (open redirect yoxdur).
• GET|POST /account/logout — lokal cookie silinir, server-də /connect/logout (id_token_hint saxlanılan id token-dən, post_logout_redirect_uri = SignedOutCallbackPath) → SignedOutRedirectPath (/).

OpenIddict tərəfində client belə qeyd olunur (atis-service-user OpenIddict:Clients[]): Type: code, RedirectUris: ["https://staff.atis.edu.az/signin-oidc"], PostLogoutRedirectUris: ["https://staff.atis.edu.az/signout-callback-oidc"], Scopes: ["openid","profile","email","roles","atis"].

Sso bölməsi

Bütün açarlar ValidateOnStart() ilə host qalxanda yoxlanılır — səhv konfiq OptionsValidationException verir.

Testdə RP-ni qurmaq

Backchannel (discovery/jwks/token/userinfo) in-process serverə yönləndirilir — Configure ilə, PostConfigure ilə yox (handler Backchannel HttpClient-i post-configure mərhələsində BackchannelHttpHandler-dən qurur):

services.Configure<OpenIdConnectOptions>(AtisSsoDefaults.OidcScheme, o => o.BackchannelHttpHandler = serverHandler);

Paketin öz testləri (tests/Atis.Identity.Sso.Tests) stub OIDC server (RS256, PKCE yoxlanır) ilə tam axını — challenge parametrləri, id token + userinfo birləşməsi, fail-closed policy, ICurrentUser, logout id_token_hint, userinfo xətası, AddAtisWebUiHost ilə kompozisiya — pin edir. Real OpenIddict serverinə qarşı eyni axın atis-service-user-in tests/Services.Tests/Sso dəstində sübut olunub.

Bilinən məhdudiyyətlər və qaydalar

• AddAtisSsoRelyingParty-dən sonra AddAuthentication(...) çağırma — tək-arqumentli overload DefaultScheme-i dəyişir, cookie principal oxunmur və hər səhifə anonim olur. AddAtisApiHost (JWT bearer) ilə eyni prosesdə birləşdirmə: API və WebUI ayrı proseslərdir (spec §4); birləşdirsən eyni Sso bölməsi Audience tələb edib start-da sınar.
• SaveTokens və token ömrü: cookie sürüşən (60 dəq), saxlanılan access_token isə server ömrü ilə (OpenIddict defoltu ~1 saat) bitir və defolt scope-larda refresh token yoxdur. Servis API-lərini cookie sessiyasından çağırırsansa ya Sso:Scopes-a offline_access əlavə edib yeniləməni özün qur, ya da CookieExpireMinutes-i access token ömründən qısa saxla.
• Logout GET-dir (ATIS Core ilə eyni): zərərli səhifədən top-level naviqasiya ilə məcburi çıxış mümkündür — təsiri yalnız narahatlıqdır (məlumat sızması/sessiya oğurluğu yoxdur). Təsdiq səhifəsi istəyən servis öz POST endpoint-ini map edir.
• Cookie ticket-i permission[] claim-lərini daşıyır: çoxlu icazəsi olan istifadəçidə cookie chunk-lanır (ASP.NET Core bunu özü edir, 4 KB-lıq hissələr). Böyüklük problem olarsa ITicketStore (server tərəfi sessiya) növbəti addımdır — paket hazırda qurmur.
• İstifadəçi kimliyi (sub, UserKey.UserId) yalnız imzalanmış id token-dən gəlir; userinfo onu dəyişə bilmir (framework sub-u tutuşdurur, UserId userinfo siyahısında deyil).
• Userinfo çağırışı hər login-də bir dəfədir; cookie ömrü boyunca icazə dəyişikliyi görünmür (ATIS Core-un mövcud cookie davranışı ilə eyni). Anında ləğv lazımdırsa cookie ömrünü qısalt.
• Events bütövlükdə əvəz edilsə (EventsType) paketin OnRemoteFailure-u itir — öz event sinfini ondan törət.
• Redis key ring real Redis ilə yoxlanmayıb (test mühitində Redis yoxdur); ApplicationName qaydası, qeydiyyat və "əlçatmaz Redis host-un qalxmasına mane olmur" yoxlanıb. Bağlantı AbortOnConnectFail=false ilə açılır və uğursuz cəhd keşlənmir — Redis qayıdan kimi açarlar oxunur (o vaxta qədər autentifikasiyalı sorğular 500 verir).