ASP.Net Core、Angular2 和基于令牌的身份验证

Question

我正在编写一个使用 ASP.NET 核心作为后端/服务和 Angular2 作为前端的 Web 应用程序，并且在身份验证/授权方面遇到了问题。

在 ASP.NET 核心中，我只有一个 html 页面和控制器，即 HomeController 和允许匿名访问 ([AllowAnonymous]) 的索引。这个单一页面将 angular2-app 交付给客户端。

所有其他通信都使用 ApiControllers（在 ASP.NET 核心中只是普通的控制器，但这些控制器上的操作期望并发送 JSON 数据。对于身份验证/授权，我想使用 jwt 令牌。用户、角色、声明等. 使用 EF 核心存储在 IdentityDbContext 中。

我发现的大多数教程都已过时、不完整或参考第 3 方 OAuth 解决方案。我不是在寻找 OAuth，我只想要一个带有用户名/密码的页面并使用令牌保持登录状态，因为我正在使用所有 API 来往来后端获取数据。 我阅读了很多教程，尝试了一些有用的库，但仍然对如何设置中间件链以实现基于令牌的安全性感到困惑。据我了解，我需要为身份添加服务，因为我想使用 IdentityDbContext：

public void ConfigureServices(IServiceCollection services)
{
  [...]
  services.AddIdentity<IdentityUserEntity, IdentityRoleEntity>()
    .AddEntityFrameworkStores<ApplicationDbContext, long>()
    .AddDefaultTokenProviders();
  [...]
}

但是我需要在 Configure 中设置什么中间件？我需要 app.UseIdentity() 还是 app.UseJwtBearerAuthentication(o) 足够？在 JwtBearer 开始检查令牌之前，UseIdentity 不会缩短身份验证吗？？

public void Configure(IApplicationBuilder app, IHostingEnvironment env, ILoggerFactory loggerFactory)
{
  [...]
  app.UseIdentity();
  [...]
  app.UseJwtBearerAuthentication(jwtOptions);
  [...]
}

我之所以问是因为在我的 TokenController 中执行了对 _signInManager.PasswordSignInAsync(...) 的调用之后，客户端自动进行了身份验证，即使我的客户端从未收到 jwt。所以不知何故，ASP.NET 身份管理在登录后找到了一些其他方式来识别我的用户，这当然不应该发生。

// simplified controller
public class TokenController : Controller
{
  [HttpPost("[action]")]
  [AllowAnonymous]
  public async Task<JsonResult> Login([FromBody]LoginViewModel loginRequest)
  {
    var signin = await _signInManager.PasswordSignInAsync(loginRequest.Username, loginRequest.Passwort, true, true);
  }

  // this will work even though I don't handle any Tokens in the Client yet, so some other authentication mechanism is at work:
  [HttpGet("test")]
  [Authorize]
  public IActionResult Get()
  {
    return new JsonResult(from c in User.Claims select new { c.Type, c.Value });
  }

} 

那么我该如何实现基于令牌的身份验证而不是别的？

[更新]

我猜我需要拦截 Cookie 身份验证事件并拒绝主体以禁用 Cookie 身份验证（请参阅https://stackoverflow.com/a/38893778/7021）： 但由于某种原因，我的事件处理程序永远不会被调用。

  app.UseCookieAuthentication(new CookieAuthenticationOptions()
  {
    Events = new CookieAuthenticationEvents
    {
      OnValidatePrincipal = ValidateAsync
    }
  });

public static async Task ValidateAsync(CookieValidatePrincipalContext context)
{
  context.RejectPrincipal();
  await context.HttpContext.Authentication.SignOutAsync("BsCookie");
}

更多关于身份验证、Cookie 和令牌的好读物：
- http://andrewlock.net/exploring-the-cookieauthenticationmiddleware-in-asp-net-core/
- https://stormpath.com/blog/token-authentication-asp-net-core

Answer 1

MS 提供了基本的基于 jwt 令牌的身份验证库，您可以在此处查看如何使用它：

https://code.msdn.microsoft.com/How-to-achieve-a-bearer-9448db57

在startup.cs中，首先配置Jwt Beare

public void Configure(IApplicationBuilder app, IHostingEnvironment env, ILoggerFactory loggerFactory)
    {
        app.UseJwtBearerAuthentication(new JwtBearerOptions()
          {
              TokenValidationParameters = new TokenValidationParameters()
            {
                IssuerSigningKey = TokenAuthOption.Key,
                ValidAudience = TokenAuthOption.Audience,
                ValidIssuer = TokenAuthOption.Issuer,
                // When receiving a token, check that we've signed it.
                ValidateIssuerSigningKey = true,
                // When receiving a token, check that it is still valid.
                ValidateLifetime = true,
                // This defines the maximum allowable clock skew - i.e. provides a tolerance on the token expiry time 
                // when validating the lifetime. As we're creating the tokens locally and validating them on the same 
                // machines which should have synchronised time, this can be set to zero. Where external tokens are
                // used, some leeway here could be useful.
                ClockSkew = TimeSpan.FromMinutes(0)
            }
        });

现在您可以添加到服务中

    public void ConfigureServices(IServiceCollection services)
    {
         services.AddAuthorization(auth =>
          {
            auth.AddPolicy("Bearer", new AuthorizationPolicyBuilder()
                .AddAuthenticationSchemes(JwtBearerDefaults.AuthenticationScheme‌​)
                .RequireAuthenticatedUser().Build());
        });

最后在controller中使用，只需添加[Authorize("Bearer")]

   [Route("api/[controller]")]
   public class ValuesController : Controller
   {
      [HttpGet("GetStaff")]
      [Authorize("Bearer")]
       public IActionResult GetStaff()
      {
          List<string> model = new List<string>();
          foreach (User user in UserStorage.Users ){
           model.Add(user.Username);
          }
          return Json(model);
      }
    }

在此处查看完整的详细信息：https://github.com/Longfld/ASPNETcoreAngularJWT