Быстрый старт .NET

using Microsoft.EntityFrameworkCore;   // UseNpgsql — только для продакшн-строк (Npgsql приезжает с пакетами *.Migrations.PostgreSql)
using Veriqa.Core.AuthServer.DependencyInjection;
using Veriqa.Core.AuthServer.Infrastructure;   // UseSecurityHeaders (шаг 3)
using Veriqa.Core.ChannelAdapter.DependencyInjection;   // AddTelegram, AddWhatsApp, AddMax, AddEmail
using Veriqa.Core.TransactionEngine.DependencyInjection;   // UseEfCoreStore — только для продакшн-строк

var builder = WebApplication.CreateBuilder(args);

// Продакшн-строки ниже берут строку подключения из конфигурации хоста:
// var connectionString = builder.Configuration.GetConnectionString("Veriqa");

builder.Services.AddVeriqaAuthServer(builder.Configuration, builder.Environment, authServer =>
{
    // Хранилище OpenIddict (клиенты, авторизации, токены). Умолчания нет — выбирайте явно.
    // Для разработки — волатильное in-memory:
    authServer.UseInMemoryOpenIddictStore();

    // Для продакшна — вместо строки выше реляционный провайдер (провайдер и строка подключения
    // принадлежат хосту; сборка миграций — пакетом Veriqa.Core.AuthServer.Migrations.PostgreSql):
    // authServer.UseOpenIddictDatabase(ef => ef.UseNpgsql(connectionString,
    //     npgsql => npgsql.MigrationsAssembly("Veriqa.Core.AuthServer.Migrations.PostgreSql")));

    // Хранилище транзакций
    authServer.ConfigureTransactionEngine(te =>
    {
        // Для разработки — InMemory:
        te.UseInMemoryStore();

        // Для продакшна — EF Core (сам метод приезжает пакетом
        // Veriqa.Core.TransactionEngine.EntityFrameworkCore; провайдер и строка подключения
        // принадлежат хосту; сборка миграций — пакетом
        // Veriqa.Core.TransactionEngine.Migrations.PostgreSql):
        // te.UseEfCoreStore(ef => ef.UseNpgsql(connectionString,
        //     npgsql => npgsql.MigrationsAssembly("Veriqa.Core.TransactionEngine.Migrations.PostgreSql")));
    });

    // Каналы подтверждения
    authServer.AddChannelAdapters(adapters =>
    {
        adapters.AddTelegram();
        adapters.AddWhatsApp();
        adapters.AddMax();
        adapters.AddEmail();
    });
});

var app = builder.Build();

app.UseSecurityHeaders();   // CSP, X-Frame-Options
app.UseStaticFiles();       // клиент SignalR для live-обновления статуса
app.UseAuthentication();
app.UseAuthorization();
app.UseRateLimiter();

// Эндпоинты Veriqa: OIDC + webhooks каналов + статус транзакции + SignalR-хаб
app.MapVeriqaAuthServer();

app.Run();

{
  "Veriqa": {
    "Channels": {
      "Telegram": {
        "Enabled": true,
        "InboundVerification": "shared_secret",
        "BotToken": "YOUR_BOT_TOKEN",
        "UpdateMode": "Webhook",
        "WebhookBaseUrl": "https://your-domain.com",
        "WebhookSecretToken": "YOUR_SECRET"
      },
      "WhatsApp": {
        "Enabled": false,
        "InboundVerification": "signature",
        "Provider": "MetaCloudApi",
        "BusinessPhoneNumber": "+15551234567",
        "MetaCloudApi": {
          "PhoneNumberId": "YOUR_PHONE_NUMBER_ID",
          "AccessToken": "YOUR_ACCESS_TOKEN",
          "AppSecret": "YOUR_APP_SECRET",
          "WebhookVerifyToken": "YOUR_VERIFY_TOKEN"
        }
      },
      "Max": {
        "Enabled": false,
        "InboundVerification": "shared_secret",
        "BotToken": "YOUR_BOT_TOKEN",
        "UpdateMode": "Webhook",
        "WebhookBaseUrl": "https://your-domain.com",
        "WebhookSecretToken": "YOUR_SECRET"
      },
      "OutcomeNotice": {
        "DisplayIntent": "ReplacePrompt"
      }
    },
    "MessageTemplates": {
      "outcome-receipt-confirmed": {
        "Contract": {
          "Slots": [ { "Name": "app", "Type": "string", "Source": "ServerInitiatorContext" } ]
        },
        "ByType": {
          "login": {
            "BySurface": {
              "in-channel-messenger": {
                "Templates": [ "Signed in to {app} ✅", "Signed in ✅" ]
              }
            }
          }
        }
      },
      "outcome-receipt-declined": {
        "Contract": {
          "Slots": [ { "Name": "app", "Type": "string", "Source": "ServerInitiatorContext" } ]
        },
        "ByType": {
          "login": {
            "BySurface": {
              "in-channel-messenger": {
                "Templates": [ "Sign-in to {app} declined ❌", "Sign-in declined ❌" ]
              }
            }
          }
        }
      }
    },
    "TransactionEngine": {
      "TransactionTtlSeconds": 300
    },
    "OpenIddict": {
      "Clients": [
        {
          "ClientId": "my-app",
          "DisplayName": "My Application",
          "AllowedRedirectUris": [ "https://localhost:7020/signin-oidc" ],
          "AllowedScopes": [ "openid", "profile", "email", "offline_access" ],
          "AllowRefreshTokens": true
        }
      ]
    }
  }
}

using System.Security.Claims;
using Microsoft.AspNetCore.Authentication.Cookies;
using Microsoft.AspNetCore.Authentication.OpenIdConnect;

builder.Services
    .AddAuthentication(options =>
    {
        options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
        options.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme;
    })
    .AddCookie()
    .AddOpenIdConnect(options =>
    {
        // Адрес хоста с Veriqa. Эндпоинты и ключи подхватываются через discovery
        // ({Authority}/.well-known/openid-configuration) — руками их прописывать не нужно.
        options.Authority = "https://localhost:7300";
        options.ClientId = "my-app";
        options.ResponseType = "code";
        options.UsePkce = true;

        // Должен совпадать с записью AllowedRedirectUris из шага 4 — сверка точная.
        options.CallbackPath = "/signin-oidc";

        // openid и profile хендлер запрашивает сам — здесь только дополнительные scope.
        // Каждый должен быть перечислен в AllowedScopes клиента на стороне issuer'а.
        options.Scope.Add("email");
        options.GetClaimsFromUserInfoEndpoint = true;
        options.SaveTokens = true;

        // Veriqa выдаёт имя пользователя коротким OIDC-claim `name`, а User.Identity.Name по
        // умолчанию ищет ClaimTypes.Name (длинный URI WS-Federation) — без этой строки страница
        // ниже после успешного входа поздоровается с пустым именем.
        options.TokenValidationParameters.NameClaimType = "name";
    });

builder.Services.AddAuthorization();

app.UseAuthentication();
app.UseAuthorization();

app.MapGet("/", (ClaimsPrincipal user) =>
    user.Identity?.IsAuthenticated is true
        ? Results.Text($"Hello, {user.Identity.Name}!")
        : Results.Challenge());

builder.Services
    .AddAuthentication(/* две схемы из шага 5 */)
    .AddCookie()
    .AddOpenIdConnect(options =>
    {
        // Единственное значение, которое отличается у облака, self-hosted и встроенного режима.
        // Остальное — эндпоинты, ключи, поддерживаемые scopes — клиент читает из discovery.
        options.Authority = builder.Configuration["Veriqa:Authority"];
        options.ClientId = builder.Configuration["Veriqa:ClientId"];
        options.ResponseType = "code";
        options.UsePkce = true;
        options.CallbackPath = "/signin-oidc";
        options.TokenValidationParameters.NameClaimType = "name";
    });

{
  "Veriqa": {
    "Authority": "https://auth.your-domain.com",
    "ClientId": "my-app"
  }
}