Fhi.Lmr.Authentication.TokenValidation 10.1.2

Fhi.Lmr.Authentication.TokenValidation

NuGet-pakke for validering av JWT-tokens i API-er beskyttet av HelseId, Entra ID eller Maskinporten. Støtter både Bearer og DPoP tokens.

Installasjon

dotnet add package Fhi.Lmr.Authentication.TokenValidation

Konfigurasjon

appsettings.json

{
  "ApiTokenValidation": {
    "Authority": "https://helseid-sts.test.nhn.no/",
    "Audience": "fhi:min.api",
    "DefaultScope": "fhi:min.api/les",
    "Scopes": [
      "fhi:min.api/les",
      "fhi:min.api/skriv",
      "fhi:min.api/admin"
    ],
    "RequireDPoP": false,
    "UseAuth": true
  }
}

Konfigurasjonsverdier

Bruk

Program.cs

using Fhi.Lmr.Authentication.TokenValidation.ApiAuthentication;

var builder = WebApplication.CreateBuilder(args);

builder.Services.AddControllers();

// Legg til autentisering og autorisering
builder.Services.AddApiAuthenticationAndAuthorization(builder.Configuration);

var app = builder.Build();

app.UseHttpsRedirection();
app.UseAuthentication();
app.UseAuthorization();

app.MapControllers();

app.Run();

Endepunktspesifikke scopes

Scopes definert i Scopes-listen opprettes automatisk som authorization policies med samme navn. Bruk RequireAuthorization for å kreve spesifikke scopes på endepunkter.

Med Minimal API

// Bruker DefaultScope (fhi:min.api/les)
app.MapGet("/data", () => Results.Ok("data"));

// Krever spesifikt scope
app.MapGet("/admin", () => Results.Ok("admin data"))
   .RequireAuthorization("fhi:min.api/admin");

// Tillat anonym tilgang
app.MapGet("/public", () => Results.Ok("public"))
   .AllowAnonymous();

Med Controllers

[ApiController]
[Route("api/[controller]")]
public class DataController : ControllerBase
{
    // Bruker DefaultScope automatisk
    [HttpGet]
    public IActionResult Get() => Ok("data");

    // Krever spesifikt scope
    [HttpPost]
    [Authorize(Policy = "fhi:min.api/skriv")]
    public IActionResult Create() => Ok("created");

    // Krever admin scope
    [HttpDelete("{id}")]
    [Authorize(Policy = "fhi:min.api/admin")]
    public IActionResult Delete(int id) => Ok("deleted");

    // Tillat anonym tilgang
    [HttpGet("health")]
    [AllowAnonymous]
    public IActionResult Health() => Ok("healthy");
}

Støttede Identity Providers

Feilhåndtering

Pakken returnerer detaljerte feilmeldinger i WWW-Authenticate-headeren:

DPoP-konfigurasjon

For DPoP-beskyttede API-er, sett RequireDPoP: true. DPoP validerer at:

• DPoP-proof header er tilstede
• Proof er gyldig JWT med riktig struktur
• cnf-claim i access token matcher DPoP-nøkkel
• HTTP-metode og URL matcher claims i proof
• Replay-angrep forhindres via nonce og jti-validering