BTW.KeycloakJwtGenerator.NetCore31 1.0.1

BTW.KeycloakJwtGenerator.NetCore31

Variante netcoreapp3.1 de BTW.KeycloakJwtGenerator. Genera JWTs centralizados usando Keycloak como Identity Provider para sistemas ASP.NET Core 3.1 legacy.

Para .NET 6 / 7 / 8 / 10 usa el paquete principal BTW.KeycloakJwtGenerator.
Para .NET Framework 4.6.1 (Web API 2 + OWIN) usa BTW.KeycloakJwtGenerator.NetFramework461.

¿Para qué sirve?

Tu Sistema ASP.NET Core 3.1 (auth propia) → BTW.KeycloakJwtGenerator → Keycloak → JWT con tus claims

• ✅ Tu sistema mantiene su autenticación (BD, LDAP, Active Directory)
• ✅ Keycloak firma y emite el JWT
• ✅ Claims personalizados que tú defines
• ✅ Cualquier API que apunte al mismo realm valida el token

Instalación

dotnet add package BTW.KeycloakJwtGenerator.NetCore31

Configuración en appsettings.json

{
  "KeycloakJwt": {
    "BaseUrl": "http://localhost:8080",
    "Realm": "mi-realm",
    "ClientId": "mi-sistema",
    "ClientSecret": "mi-secret",
    "SystemName": "Sistema A"
  }
}

Registro en Startup.cs

public class Startup
{
    public void ConfigureServices(IServiceCollection services)
    {
        // Generar JWT
        services.AddKeycloakJwtGenerator(Configuration);

        // Validar JWT (para APIs que solo consumen tokens)
        services.AddKeycloakJwtValidation(Configuration);

        // O ambos en una sola llamada
        // services.AddKeycloakJwtFull(Configuration);

        services.AddControllers();
    }

    public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
    {
        app.UseRouting();
        app.UseAuthentication();   // debe ir antes de UseAuthorization
        app.UseAuthorization();
        app.UseEndpoints(endpoints => endpoints.MapControllers());
    }
}

Uso — Controlador de login

[ApiController]
[Route("api/[controller]")]
public class AuthController : ControllerBase
{
    private readonly IMyAuthService _myAuth;
    private readonly IKeycloakJwtGenerator _jwt;

    public AuthController(IMyAuthService myAuth, IKeycloakJwtGenerator jwt)
    {
        _myAuth = myAuth;
        _jwt    = jwt;
    }

    [HttpPost("login")]
    public async Task<IActionResult> Login(LoginRequest req)
    {
        // 1. Tu autenticación propia (BD, LDAP, etc.)
        var user = await _myAuth.ValidateAsync(req.Username, req.Password);
        if (user == null) return Unauthorized();

        // 2. Claims que decides poner en el JWT
        var claims = new Dictionary<string, object>
        {
            ["departamento"] = user.Departamento,
            ["nivel_acceso"] = user.NivelAcceso,
            ["permisos"]     = user.Permisos   // string[]
        };

        // 3. Generar JWT via Keycloak
        var token = await _jwt.GenerateTokenAsync(req.Username, claims);

        return Ok(token);
    }

    [HttpPost("refresh")]
    public async Task<IActionResult> Refresh([FromBody] RefreshRequest req)
    {
        try
        {
            var token = await _jwt.RefreshTokenAsync(req.RefreshToken);
            return Ok(token);
        }
        catch (KeycloakAuthenticationException)
        {
            return Unauthorized();
        }
    }

    [HttpPost("logout")]
    [Authorize]
    public async Task<IActionResult> Logout([FromBody] LogoutRequest req)
    {
        await _jwt.RevokeTokenAsync(req.RefreshToken);
        return NoContent();
    }
}

Uso — Controlador protegido

[ApiController]
[Route("api/[controller]")]
[Authorize]
public class RecursoController : ControllerBase
{
    [HttpGet]
    public IActionResult Get()
    {
        var departamento = User.FindFirst("departamento")?.Value;
        var nivelAcceso  = User.FindFirst("nivel_acceso")?.Value;
        return Ok(new { departamento, nivelAcceso });
    }
}

API completa

Opciones de configuración

Excepciones

Configuración mínima de Keycloak

1. Crear un Client con Client authentication: ON y Service accounts roles: ✅
2. Asignar roles al service account: manage-users, view-users, impersonation
3. Protocol Mappers por cada claim custom: tipo User Attribute, Add to access token: ✅
4. (Opcional) Habilitar Token Exchange: KC_FEATURES=token-exchange en Keycloak

Licencia

MIT — ver licencia

Desarrollado por By The Wave (BTW)