在 GrantResourceOwnerCredentials 中访问 httpcontext.session

Question

我需要在GrantResourceOwnerCredentials 方法中获取HttpContext.Session。但是，当我尝试访问 Httpcontext.Session 时，我得到了 null。

下面是我的代码：

public void ConfigureAuth(IAppBuilder app)
{
    PublicClientId = "self";
    OAuthOptions = new OAuthAuthorizationServerOptions
    {
        TokenEndpointPath = new PathString("/Token"),

        Provider = new ApplicationOAuthProvider(
         PublicClientId,
         DependencyResolver.Current.GetService<ApplicationUserManager>(),
         HttpContext.Current),

       //AuthorizeEndpointPath = new PathString("/api/Account/ExternalLogin"),

        AccessTokenExpireTimeSpan = TimeSpan.FromMinutes(3),

        // In production mode set AllowInsecureHttp = false
        AllowInsecureHttp = true,

        RefreshTokenProvider = new RefreshTokenProvider(
          DependencyResolver.Current.GetService<ApplicationDbContext>())
    };

    // Enable the application to use bearer tokens to authenticate users
    app.UseOAuthBearerTokens(OAuthOptions);
}

我使用 SAML 设置我的 HttpContext 会话值，但我需要再次将 Session 值重新检查到我的 GrantResourceOwnerCredentials 方法中，但是这里的会话始终为空。

Answer 1

...我需要在我的 GrantResourceOwnerCredentials 方法中再次重新检查 Session 值。

在GrantResourceOwnerCredential 方法中检查会话值不是一个好主意。会话存储在请求附带的 cookie 中。由于请求是通过令牌端点进入的，因此请求不受 cookie 篡改保护。这意味着恶意用户可以篡改 cookie 并更改会话。