IdentityServer3：無許可アクセスからasp.net mvcアプリケーションを保護

Question

環境はidentityserver3でシングルサインオンされています。私はopenSourceを使っているクライアントアプリケーションを持っています。これはidentityserver 3と接続しています。また、pdfsやその他のファイルをレンダリングするために使われるファイルビューアasp.net mvcアプリケーションもあり、セキュリティはありません。角度アプリケーションは、iframe内のファイルビューアをレンダリングして、ファイルの内容を表示します。

openid接続でアイデンティティのクライアントとしてファイルビューアを追加しようとしました。ユーザーが角度アプリにサインインすると、ユーザーはファイルビューアアプリケーションにもシングルサインインしますが、 iframeは、x-frame-options sameoriginヘッダーのために、ファイルビューアがアイデンティティの承認エンドポイントにリダイレクトするときに発生します。私がファイルビューアを開いた場合、URLは別のタブであり、角度アプリ内でファイルプレビューを起動し、ファイルビューアのクッキーがブラウザに表示されているので、角度アプリ内での呼び出しが開始されます。

理想的には、ファイルビューアは着信トークンの検証のみを行うWeb APIと同じように動作しますが、アイデンティティサーバーでどのように達成するかはわかりません。

identityserverでファイルビューアアプリケーションを保護するにはどうすればよいですか？パイプラインでメッセージハンドラを使用してjwtトークンを手動でデコードする必要がありますか？

ありがとうございました。

Answer 1

ローカルにファイルをレンダリングしていた場合WEBAPIがないようにあなたは、ベアラ認証を使用することができます。しかし、iframeでMVCを使用しているため、ややトリッキーです。新しいウィンドウでファイルビューアの認証をトリガする必要があります。SSOログインはiframe内では起こりません。これにより、iframeにファイルビューアのmvcアプリケーションを呼び出すときに、認証情報（通常はCookie）が表示されます。