具有可选身份验证/授权的 ASP.NET Core

Question

我想构建一个基于 ASP.NET Core 的 WebApi 来访问数据库中的数据。这个 WebApi 可以以两种方式使用，或者作为需要身份验证的公共 WebApi，或者作为 Web 应用程序的私有后端服务。在后一种情况下，不需要身份验证，因为只有经过身份验证的用户才能访问 Web 应用程序，并且 Web 应用程序和 WebApi 将在同一台计算机上运行，​​WebApi 将对外部隐藏。

由于我们需要对第一个场景进行身份验证，因此我将所有公共 API 都标记为 Authorize 属性。但对于私人场景，我想绕过任何身份验证。

有什么方法可以根据配置中的某些标志使身份验证成为可选？

更新

说到两个使用场景，我的意思是两个完全独立的安装！每个都有自己的配置文件。是否需要身份验证的决定是每次安装而不是单个安装中的每个请求！我的目标是在配置中只有一个代码库和一个开关。

Answer 1

如果绕过身份验证，如何区分对 api 的内部或公共请求？这会导致安全漏洞。所以你不应该绕过身份验证。

如果您在 mvc 应用程序中使用 openidconnect 身份验证，则可以设置SaveTokens=true。它使您能够将访问令牌存储在 cookie 中。当您在 mvc 操作中调用 api 时，您可以将此 access_token 发送到 api。

另一种使用两种不同身份验证中间件的方式，一种用于内部，另一种用于公共访问（这很难实现）。

我会采用第一种方法。

更新

为了实现你的目标，我想到了一个棘手的方法，但我不确定它是不是好方法：

创建过滤器提供者：

public class EncFilterProvider : IFilterProvider
{
    public int Order
    {
        get
        {
            return -1500;
        }
    }

    public void OnProvidersExecuted(FilterProviderContext context)
    {
    }

    public void OnProvidersExecuting(FilterProviderContext context)
    {
        // remove authorize filters
        var authFilters = context.Results.Where(x => 
           x.Descriptor.Filter.GetType() == typeof(AuthorizeFilter)).ToList();
        foreach(var f in authFilters)
            context.Results.Remove(f);
    }
}

然后根据配置值有条件地注册它

  public void ConfigureServices(IServiceCollection services)
  {
      if(config["servermode"] = "internal")
      {
          services.AddScoped<IFilterProvider, EncFilterProvider>();
      }
   }

Answer 2

我建议对两个应用程序进行身份验证：Web 应用程序和 Web API 一个。您将获得一切安全保障。 跳过不是一个好主意的身份验证。只需为您的 Web 应用程序（在 Web API 应用程序中）创建一个用户，该用户将用于在从 Web API 获取数据时进行身份验证。