ASP.NET Core Identity 中的两个身份验证 cookie

Question

假设我们有一个网站：

• 管理部分
• 客户部分
• 客人（访客）部分

显然，每个人都可以访问最后一个（访客部分），而管理部分 - 仅由管理部门和客户部分 - 仅由注册客户访问。 管理员和客户端具有不同的模型类（对应的 Admin 和 User），存储在不同的数据库中，我们希望为它们中的每一个使用不同的身份验证 cookie。 是否可以使用 ASP.NET Core Identity？

我们尝试在 AddIdentity 初始化期间使用 CookieName 属性，但似乎可以在那里访问 ApplicationCookie - 是同一个对象，因此第二个定义只是重写了第一个：

services
    .AddIdentity<User, UserRole>(opts => {
        opts.Cookies.ApplicationCookie.CookieName = "Client";
        opts.Cookies.ApplicationCookie.LoginPath = new PathString("/login");
          .    .    .    .    .   .   

    });



services
    .AddIdentity<Admin, AdminRole>(opts => {
        //the following lines rewrite cookie options from client's to admin's
        opts.Cookies.ApplicationCookie.CookieName = "Admin";
        opts.Cookies.ApplicationCookie.LoginPath = new PathString("/admin/login");
          .    .    .    .    .   .   
    });

Answer 1

可能吗？是的。您需要创建自己的身份中间件来处理不同的 cookie，但可以做到。

推荐？ 没有

安全性有两个不同的问题：身份验证和授权。 Cookie 可以很好地用于身份验证（某人是谁），但是您应该使用角色和声明进行授权（某人可以做什么和有权访问），这就是您的在这里尝试解决。

ASP.NET 的身份框架已经对角色和声明提供了很好的支持，因此您可以为每个人使用标准用户模型，为某些用户添加“管理员”角色，然后根据需要添加更具体的声明。

用于处理授权的documentation 非常详细，并为您提供了一个很好的选项演练。角色和声明都可以通过将它们添加到用户配置文件然后在控制器路由方法上使用 [Attributes] 来轻松实施，如下所示：

角色：

[Authorize(Roles = "Administrator")]
public class AdministrationAreaController : Controller
{
    public IActionResult Index()
    {
    }
}

声明：

[Authorize(Policy = "EmployeeOnly")]
public class ClientAreaController : Controller
{
    public IActionResult Index()
    {
    }
}