如何停止 Windows.Web.Http.HttpClient 上的凭据缓存？

Question

我遇到了一个问题，即应用尝试使用不同的身份验证方法从同一服务器访问资源，这两种方法是：

• 凭据（NTLM、基本等）
• OAuth（不记名）

设置 HttpBaseProtocolFilter

HttpBaseProtocolFilter 设置为：

• 禁用缓存
• 禁用自动 UI 凭据请求弹出窗口

代码

HttpBaseProtocolFilter filter = new HttpBaseProtocolFilter();
filter.CacheControl.WriteBehavior = HttpCacheWriteBehavior.NoCache;
filter.CacheControl.ReadBehavior = HttpCacheReadBehavior.MostRecent;
filter.AllowUI = false;

添加服务器凭据

如果资源需要凭据，那么我使用：

filter.ServerCredential = new PasswordCredential(
                RequestUri.ToString(),
                UserName,
                Password);

HttpClient httpClient = new HttpClient(filter);

添加 OAuth 令牌

如果资源需要我使用的 Bearer 令牌：

HttpClient httpClient = new HttpClient(filter);
httpClient.DefaultRequestHeaders.Authorization = new HttpCredentialsHeaderValue("Bearer", token);

ServerCredential 为空

filter.ServerCredential = null

从服务器获取响应

using(httpClient)
{
   using(HttpRequestMessage requestMessage = new HttpRequestMessage(new HttpMethod(method), RequestUri))
   {
       using(HttpResponseMessage response = await httpClient.SendRequestAsync(requestMessage))
       {
           // Do something with response
       }
   }
}

问题

如果 HttpClient 请求使用 ServerCredential 返回 200（OK），那么即使 Bearer 令牌无效且 filter.ServerCredential 为空，随后的每个 Bearer 请求也会返回 200（OK）。

看起来好像 filter.ServerCredential 已缓存，并且所有后续调用都使用缓存的凭据进行身份验证。

如果我想进行Bearer 身份验证，我必须重新启动应用程序。

如何删除、禁用或清除 Windows.Web.Http.HttpClient 的ServerCredential？

---

我尝试过的事情：

删除所有 cookie

var cookieManager = filter.CookieManager;
HttpCookieCollection myCookieJar = cookieManager.GetCookies(RequestUri);
foreach (HttpCookie cookie in myCookieJar)
{
    cookieManager.DeleteCookie(cookie);
}

myCookieJar 为空。

PasswordCredentialPropertyStore 的东西

Windows.Security.Credentials.PasswordCredentialPropertyStore credentialPropertyStore = new Windows.Security.Credentials.PasswordCredentialPropertyStore();

credentialPropertyStore 为空。

与

PasswordCredentialPropertyStore的方法清除is reserved for internal use and is not intended to be used in your code.

有什么想法吗？

Answer 1

感谢您报告此问题。这是位于操作系统中 Windows.Web.Http.HttpClient API 下方的低级 WinINet HTTP 堆栈中的已知行为。一旦 HTTP 请求成功，凭据就会缓存在该应用程序的进程内存中。因此，即使您创建了一个新的 HttpClient 实例并将不同的凭据设置到 HttpBaseProtocolFilter 中，只要它们在服务器端继续有效，就会应用相同的（原始）凭据并使用它们。 （如果缓存的凭据在服务器端不再有效，它们将被新提供的凭据覆盖。）

我们已注意到此问题，并正在努力通过允许清除缓存的凭据来解决此问题。不幸的是，目前唯一的解决方法是让用户重新启动应用程序，这将清除应用程序的进程内存。这将允许首先使用不同的凭据。但是，只要该凭据在服务器上有效，该凭据也将“保留”到应用程序进程的其余部分。

谢谢，

西达斯·纳巴尔 [Windows 网络团队]

Answer 2

此问题现已解决，此修复程序包含在 SDK 的 //build 2016 版本中。此修复分为两部分：

1. 在 Windows 内部版本 10586 及更高版本中，新凭据可以覆盖同一应用程序中较旧的缓存值。因此，如果您使用带有（userA，passwordA）的 HttpClient c1 实例，然后在同一个应用程序中使用（userB，passwdB）创建了一个新的客户端实例 c2：这应该可以工作。新凭据会覆盖旧的缓存凭据（这在早期版本中不起作用）。

2. 但是，#1 仍然不足以让您清除原始缓存凭据 - 您只能覆盖它们。为了支持清除缓存的凭据，我们现在向 HttpBaseProtocolFilter 添加了一个方法 - HttpBaseProtocolFilter.ClearAuthenticationCache()，它会清除所有缓存的凭据信息。当您想从应用程序中过去的 HttpClient 实例中清除凭据和/或客户端证书时，您可以调用它。此方法的文档很快就会提供here

谢谢 西哈特

[Windows 网络团队]

Answer 3

只是追加

uwp_bugs_never_got_fixed={something never repeat}

在您的请求 URL 查询参数中。

Answer 4

对于面临这个问题的人；

我在 UWP Phone 应用程序上遇到了相同的基本凭据问题；一旦用户成功通过身份验证一次，它就会缓存这些凭据。即使关闭应用程序，即使重新启动手机。老实说，我怀疑服务器端存在错误，但有一个类似的应用程序可以在同一台服务器上按预期工作。

我发现添加：

filter.CookieUsageBehavior = HttpCookieUsageBehavior.NoCookies

解决了我的问题。当输入正确的凭据时一切都很好，当使用错误的凭据重试身份验证失败时。正是它应该做的！