在 mvc 4 中一起使用基于声明、基于令牌和表单的身份验证

Question

我们正在使用 Backbone + MVC 4 构建单页应用程序。在服务器端 (MVC 4)，我们使用了 MVCController（非常少）和 webapi 控制器。在这个应用程序中，到目前为止，我们已经使用了基于表单的身份验证。此外，我们还将用户信息存储在 Sessions 中。现在，客户也需要通过他的其他 Windows/移动应用程序来使用这些 webapi。我们相信我们可以公开所有的 webapi 控制器。但这里有几个问题：

1) 目前，所有的 webapi 都使用表单身份验证进行保护。但是当这些 webapi 将与 windows/native 移动应用程序一起使用时，基于表单的身份验证将不起作用（因为它在内部使用 cookie）。我们必须为其提供基于令牌的身份验证。基于令牌的身份验证与基于声明的身份验证相同吗？

2）我们的授权框架有点复杂，我们必须在用户登录时从数据库中获取所有权限并将它们存储在会话中。对于进一步的请求，我们从会话中获取用户权限。内部 sessionId 在 cookie 中传递。当 WebApi 被其他应用程序（本机和移动）访问时，这将不起作用。如果我们能找到任何其他方法将这些信息存储在服务器上，我们可以考虑从应用程序中删除会话使用。

如果没有任何效果，我们可以考虑再创建一个项目，我们将在其中复制所有 webapi 并在那里使用基于令牌/基于声明的身份验证。

提前致谢

Answer 1

1) 基于令牌的身份验证提供了执行基于声明的身份验证的方法。它允许您在 HTTP 请求上传输声明，并通过执行签名验证来验证声明来自受信任的来源。

您应该使用JWT token 保护您的 API。在您的 API 中，检查传入请求标头中是否存在 JWT 令牌，如果存在，则使用令牌处理程序包将令牌解码为 ClaimsPrincipal。

一旦您有了委托人，您就可以使用标准过滤器属性将您喜欢的任何授权规则应用于您的 API 端点

2) Web API 应该是无状态的，你应该从你的 API 层移除会话使用。

你需要考虑的是……

i) 用户如何在您的系统中唯一标识自己？您是否有“客户 ID”\“用户 ID”或其他标识符？ (AuthN)

ii) 一旦您可以唯一标识某人，您如何决定允许该身份访问哪些资源 (AuthZ)

您是否绝对需要在用户登录时加载数据库中的所有权限，还是只需要那些允许您唯一标识登录的权限？

您可以设计一个具有一组声明的 JWT 令牌，这些声明允许您在 API 请求中传递令牌，这样做意味着您不再需要将数据存储在服务器上，因为 authn\authz 信息现在是HTTP 请求。

这里需要好的设计。 JWT 令牌中的信息过多，对您的 API 的每个请求都会有很大的负载。没有足够的信息，您的 API 将需要获取做出授权决策所需的任何其他数据。您需要确定正确的余额是多少。

看看Identity Server on Github。它有一些有用的演示项目，以及一般身份验证主题的良好链接。