ASP.NET Web API - аутентифицированный зашифрованный JWT-токен - нужен ли мне OAuth?

Question

Я рассматриваю использование аутентифицированных зашифрованных токенов JWT для аутентификации/авторизации доступа к приложению веб-API ASP.NET.

Основываясь на том, что я читал до сих пор, мне кажется, что это возможность генерировать токены JWT из маркерной службы и передавать их в Web API через заголовок http-авторизации.

Я нашел несколько хороших примеров кода для реализации создания и потребления JWT (Pro ASP.NET Web API Security от Badrinarayanan Lakshmiraghavan).

Я пытаюсь понять, нужна ли мне полная реализация OAuth для поддержки этого, или я могу просто передать маркеры в заголовке auth.

Предполагая, что маркеры должным образом зашифрованы и подписаны, существует ли какой-либо недостаток безопасности в сохранении простых вещей без использования OAuth?

Попытка максимально упростить мои потребности без ущерба для безопасности.

Answer 1

Это не значит, что вы всегда должны использовать OAuth, когда используете токены. Но учитывая тот факт, что ваше приложение является приложением для JavaScript, вам лучше реализовать трехстороннюю аутентификацию. Сервер идентификации Thinktecture поддерживает implicit grant. Но если клиентское приложение получает доступ к учетным данным пользователя, это не проблема для вас, ваше приложение для JavaScript может получить идентификатор пользователя и пароль от пользователя и сделать запрос токена от эмитента маркеров, гарантируя, что идентификатор пользователя и пароль не будут сохранены где в приложении JavaScript (включая DOM). Этот запрос для токена может быть простым HTTP POST, а также не нужно ничего связать с OAuth. Если ваш конечный пользователь не будет вводить учетные данные в клиентском приложении, то подразумевается неявное предоставление OAuth. Кстати, вам не нужно шифровать JWT. Проблемы TIS подписали JWT, и это обеспечит целостность токена. Но если вас беспокоит конфиденциальность, вы можете использовать HTTPS для получения маркера, а также для подачи токена.

Answer 2

Похоже, что вам действительно не нужна авторизация, как тот, который предоставляется OAuth. Для вашего сценария недостаточно проверки подлинности HMAC? С HMAC вам не придется иметь дело с JWT вообще. Это реализация я сделал для проверки подлинности HMAC для .NET

https://github.com/pcibraro/hawknet

Пабло.