区分第一个请求（身份验证）和后续请求（也是身份验证）

Question

使用基本身份验证，我在身份验证处理程序中执行此操作：

protected override Task<HttpResponseMessage> SendAsync(HttpRequestMessage request, System.Threading.CancellationToken cancellationToken)
{
    var authHeader = request.Headers.Authorization;
    if (authHeader == null || authHeader.Scheme != BasicScheme)
    {
        return CreateUnauthorizedResponse();
    }

    // Now authenticate the user with his name+pw

    // Return Auth token to user

}

每次这意味着第一个请求或所有后续请求，用户请求都将通过上述 SendAsnyc 方法。在上述方法中，我应该如何区分用户是第一次验证自己（使用用户名+密码）还是继续验证自己（让服务器生成身份验证令牌）？

Answer 1

您可以使用授权方案来区分。当用户发送用户名/密码时，请使用“基本”身份验证方案。发送令牌时，使用“承载”身份验证方案。

Answer 2

两个选项。

(1) 假设在成功验证用户名/密码后从服务器发回的令牌在 Authorization 标头中发送给后续请求（在不同的方案中），重新排列你的逻辑，以便你寻找授权标头中的基本方案，如果存在，则进行身份验证并发回令牌。如果具有基本方案的 authz 标头不存在，但您的方案或承载方案（无论是什么）存在，则假设它是令牌并进行身份验证。如果 authz 标头不存在或基本方案中的凭据无效或其他方案中的令牌无效，则发送 401。

(2) 更改消息处理程序，使其仅进行基本方案身份验证。如果标头不存在或无效凭据或存在，它将不会在request.GetRequestContext().Principal 中设置正确的主体，但不会发回 401。引入另一个将执行令牌身份验证的消息处理程序。仅当请求中存在令牌并且令牌有效时，此处理程序才设置正确的主体。同样，此处理程序不会发回 401。最后，在操作方法、控制器甚至全局应用 Authorize 过滤器。如果两个消息处理程序都没有建立经过身份验证的身份，过滤器会将响应状态设置为 401。

我更喜欢第二个，因为处理程序只负责身份验证。顺便说一句，一般不建议使用消息处理程序进行身份验证。一旦执行回到 IIS 管道（假设您使用 IIS），您在此处建立的身份将被恢复。