在 ASP.NET CORE 2.1 中将声明存储到 COOKIE

Question

我需要在身份验证成功后使用 OpenID 连接从身份提供者对用户进行身份验证，我需要将用户的声明存储到 cookie 中。

但我在 Request.Cookies 中没有找到接受三个参数的 append 方法，我只能将 keyvaluepair 作为signle 参数传递。

这是我的代码

public IActionResult Login(string provider, string returnUrl = null)
        {
             Challenge(new AuthenticationProperties { RedirectUri = returnUrl ?? "/" }, provider);
            Request.Cookies.Append("key", "value", new CookieOptions());

            return View();

 }

我还需要确认COOKIE存储的代码应该写在哪里，这样一旦认证成功就不能再次存储了。

这是我的身份验证代码

services.AddAuthentication(options =>
            {
                options.DefaultChallengeScheme = CookieAuthenticationDefaults.AuthenticationScheme;
                options.DefaultSignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;
                options.DefaultAuthenticateScheme = CookieAuthenticationDefaults.AuthenticationScheme;

            }).AddOpenIdConnect(options =>
                {
                    options.Authority = "https://accounts.google.com";
                    options.ClientId = _clientID;
                    options.ResponseType = "code id_token";
                    options.Scope.Add("openid");
                    options.Scope.Add("profile");
                    options.Scope.Add("email");
                    options.SaveTokens = true;
                    options.ClientSecret = _clientSecret;
                    //options.GetClaimsFromUserInfoEndpoint = true;
                    options.CallbackPath = "/home/index";
                    //options.SignedOutRedirectUri = redirectUrl;

                            options.Events = new OpenIdConnectEvents()
                            {
                                // handle the logout redirection 
                                OnRedirectToIdentityProviderForSignOut = context =>
                                {
                                    context.Response.Redirect(redirectUrl);
                                    context.HandleResponse();

                                    return Task.CompletedTask;
                                }
                            };


                        }).AddCookie(options => {
                            options.LoginPath = "/auth/signin";

                        });

提前致谢。

Answer 1

不要自己将声明存储在 cookie 中，因为最终用户可以修改 cookie。如果我修改 cookie 并添加声明 Role, Administrator（或您的应用程序中表示访问权限的任何概念）会怎样。

使用提供的 cookie 处理程序在身份验证后存储声明。这就是该模型的用途。 cookie 处理程序将对内容进行加密和签名以防止其被篡改。

编辑后更新

感谢DefaultSigninScheme，使用您的代码，您已经将身份验证结果存储在 Cookie 中。

您应该在后续请求中提供的User 中提供结果声明。