使用 ASP.NET Web API 的跨平台身份验证

Question

我什至如何开始使用 ASP.NET Web API 编写身份验证代码，使其跨平台支持桌面、移动和 Web？我读过一些进行 RESTful 身份验证的方法，例如在标头中使用令牌。

有没有使用这种方法的示例项目？

问题：

1. 如果不是，我该如何修复[Authorize] 属性来读取令牌？
2. 如何生成此令牌？我不认为我可以使用表单身份验证，因为它使用 cookie。
3. 如何处理实际授权，客户端发送原始密码和用户名然后我生成令牌还是有其他方法？
4. 我的网站在使用时如何处理？我听说这与应用使用它时的处理方式不同，例如获取域并对其进行授权。

Answer 1

有很多方法可以对 REST 服务的用户进行身份验证。使用令牌是可能的，但仅使用 Basic Authentication 更加简单，并且几乎可以作为标准和跨平台使用。

不要将authorization 与authentication 混淆。 [Authorize] 属性全部与授权有关，但仅在使用其他机制对用户进行身份验证之后。如果不先进行适当的身份验证，授权是完全没用的。

检查的最佳资源是Dominick Baier，他是该主题的专家。

Answer 2

我认为代币将是一个可靠的方法。表单身份验证基于 Web 的 cookie。不过，对于所有非浏览器客户端来说，这并不是最理想的情况。

我的建议是创建一个自定义 AuthorizationFilterAttribute 并覆盖 OnAuthorization 方法。在该方法中，您可以在客户端提供有效凭据后检查是否存在您颁发给客户端的令牌。您可以在要验证的任何方法或控制器上使用此属性。这是您可能会参考的示例

 public class AuthorizeTokenAttribute : AuthorizationFilterAttribute 
{      
    public override void OnAuthorization(HttpActionContext actionContext)
    {
        if (actionContext != null)
        {                
                if (!AuthorizeRequest(actionContext.ControllerContext.Request))
                {
                    actionContext.Response = new HttpResponseMessage(HttpStatusCode.Unauthorized) { RequestMessage = actionContext.ControllerContext.Request }; 
                }
                return;
        }
    }

    private bool AuthorizeRequest(System.Net.Http.HttpRequestMessage request)
    {
        bool authorized = false;
        if (request.Headers.Contains(Constants.TOKEN_HEADER))
        {               
            var tokenValue = request.Headers.GetValues("TOKEN_HEADER");
            if (tokenValue.Count() == 1) {
                var value = tokenValue.FirstOrDefault();               
               //Token validation logic here
               //set authorized variable accordingly
            }                
        }
        return authorized;
    } }

TOKEN_HEADER 只是一个字符串，表示客户端应为经过身份验证的请求传回的 HTTP 标头。

让我们来看看吧

1. 客户端请求安全数据
2. 客户端未授权，返回带有未授权状态码的响应
3. 客户端发送凭据进行身份验证，应通过 HTTPS 进行保护
4. 验证后，客户端会通过 HTTP 标头或任何适合您的方式接收令牌
5. 客户端再次尝试请求安全数据，这次将令牌附加到请求中
6. AuthorizeTokenAttribute 将验证令牌并允许执行操作。

另外，请查看 John Petersen 的这篇文章。 Making your ASP.NET Web API’s secure

Answer 3

我用了一个很简单的方法：

1. 使用其唯一的 accessId 和 accessKey（例如 MD5 哈希 GUID 值）定义访问配置文件
2. 将此类访问配置文件存储在数据库中
3. 每个请求（GET/POST/等）必须提供accessId、queryHash（MD5哈希值代表查询）和签名（queryHash的MD5哈希值+accessKey）。当然，客户需要将 accessKey 保存在安全的地方！！！
4. 服务器收到请求会检查accessId和签名使用相同的计算算法来拒绝或授予访问（认证）
5. 可以使用访问配置文件根据请求类型进行进一步授权

采用这种方法的服务使用新的 ASP.NET MVC Web API 可以服务于任何类型的客户端：浏览器/javascript 和本机（桌面或移动）等。

Answer 4

U 可以使用 ActionFilterAttribute 并覆盖 OnActionExecuting 方法。 稍后在 global.cs 中注册此过滤器以将此过滤器应用于 Application Start 方法中的所有此类操作

var config = GlobalConfiguration.Configuration; config.Filters.Add(new CustomAuthAttribute ());

{ 命名空间海关 { 公共类 CustomAuthAttribute : ActionFilterAttribute

{

    public override void OnActionExecuting(HttpActionContext actionContext)
    {
        // To inforce HTTPS if desired , else comment out the code
        if (!String.Equals(actionContext.Request.RequestUri.Scheme, "https", StringComparison.OrdinalIgnoreCase))
        {
            actionContext.Response = new HttpResponseMessage(System.Net.HttpStatusCode.BadRequest)
            {
                Content = new StringContent("HTTPS Required")
            };
            return;
        }

       // get toekn from the header

        var userToken = actionContext.Request.Headers.GetValues("UserToken");
         // Customer Logic to check the validity of the token.
        // U can have some DB logic to check , custom STS behind or some loca cache used to compare the values


    }


}

} }