Идентификация приложения и пользователя с использованием ядра ASP.NET

Question

Может ли кто-нибудь указать мне какую-нибудь хорошую документацию или предоставить хорошую информацию о наилучшем способе реализации проверки подлинности и авторизации для API-интерфейса ASP.NET Core REST. Мне нужно аутентифицировать и авторизировать приложение сначала, а затем аутентифицируйте и авторизуйте пользователя.

В идеале я хочу ограничить метод контроллера, к которому может обратиться аутентифицированное приложение и/или пользователь.

Я думаю использовать AspNet.Security.OpenIdConnect.Serverenter для аутентификации приложения, но я не уверен, как лучше всего выполнить аутентификацию пользователя. Возможно, повторите использование аутентификации OpenIdConnect на другой конечной точке для пользователей с другим заголовком, чтобы содержать токен пользователя.

После проверки подлинности я подумываю о том, чтобы просто использовать базовую безопасность ролей, чтобы ограничить доступ к методам контроллеров.

Правильно ли это решение этой проблемы?

Answer 1

Я не мог найти хорошую документацию по этому вопросу, однако мне нужно было достичь того же, поэтому я закодировал остальные api самостоятельно, изменив действия в стандартном шаблоне проверки подлинности ASP.NET на эквиваленты REST API.

Например вот как я работал действие входа:

// POST: /Account/Login 
    [HttpPost("[action]")] 
    [AllowAnonymous] 
    public async Task<ReturnValue<ApplicationUser>> Login([FromBody] loginModel login) 
    { 
     if (ModelState.IsValid) 
     { 
      ApplicationUser user = await _userManager.FindByEmailAsync(login.email); 

      if (user == null) 
      { 
       return new ReturnValue<ApplicationUser>(false, "Login failed, check username and password.", null); 
      } 
      // else if (user.EmailConfirmed == false) 
      // { 
      //  return new ReturnValue<ApplicationUser>(true, "Confirm email address.", null, user); 
      // } 
      else 
      { 
       // This doesn't count login failures towards account lockout 
       // To enable password failures to trigger account lockout, set lockoutOnFailure: true 
       var result = await _signInManager.PasswordSignInAsync(user, login.password, (bool)login.rememberMe, lockoutOnFailure: false); 
       if (result.Succeeded) 
       { 
        return new ReturnValue<ApplicationUser>(true, user); 
       } 
       //if (result.RequiresTwoFactor) 
       //{ 
       // return RedirectToAction(nameof(SendCode), new { ReturnUrl = returnUrl, RememberMe = model.RememberMe }); 
       //} 
       if (result.IsLockedOut) 
       { 
        return new ReturnValue<ApplicationUser>(false, "The account is locked out.", null); 
       } 
      } 
     } 
     else 
     { 
      string message = string.Join("; ", ModelState.Values.SelectMany(x => x.Errors).Select(x => x.ErrorMessage)); 
      return new ReturnValue<ApplicationUser>(false, "Invalid login attempt: " + message, null); 
     } 

     // If we got this far, something failed in the model. 
     return new ReturnValue<ApplicationUser>(false, "Login failed.", null); 
    } 

При вызове API из JavaScript в браузере куки будут загружены, и вы должны быть в состоянии сделать дополнительно разрешенные вызовы к API, если вы звоните из другого типа клиента, вы захотите убедиться, что CookieContainer сохранен для авторизированных вызовов.

С этого момента вы можете разрешить контроллеры REST API с помощью [Авторизоваться] декоратора через стандартные библиотеки Microsoft: https://docs.microsoft.com/en-us/aspnet/core/security/authentication/identity

удачи.

Answer 2

Для аутентификации вы можете использовать ASP.NET Core Identity, который будет использовать Microsoft.AspNetCore.Identity.EntityFrameworkCore пакет, который будет сохраняться идентификационные данные и схемы для SQL Server с помощью Entity Framework Core.

Для авторизации вы можете использовать Role Based Authorization, который использует пакет Microsoft.AspNetCore.Authorization.

Вы также можете оформить this video для получения дополнительной информации по авторизации ядра ASP.NET

Answer 3

Это на самом деле сложнее вопрос, что может показаться, потому что тип клиентов (программные клиенты), которые используют API, кажется, диск какой тип auth * необходим. Например, в веб-приложении, где веб-приложение требуется auth *, тогда Asp.Net Identity будет работать либо с токеном, либо с файлом cookie. Однако, если другие клиенты будут потреблять предоставленные услуги (мобильные приложения, приложения WUP, тогда это может быть проще реализовать с использованием токен-аутентификации. Когда у меня возникла эта проблема, я столкнулся с проблемой, что у меня был пробел в знаниях, потому что я сделал «т действительно понять OAuth. Я должен был вернуться к основам.

https://alexbilbie.com/guide-to-oauth-2-grants/

https://www.pluralsight.com/courses/oauth2-json-web-tokens-openid-connect-introduction

Большинство учебников по всему Asp.Чистая идентификация «Seem» должна быть ориентирована на веб-клиентов. Хотя можно найти те, которые этого не делают. С введением ядра asp.net синтаксис изменился, и многие из старых руководств, которые показывают объединение проверки файлов cookie и токенов, больше не применимы. Кроме того, Web Api больше не отделен от других типов проектов в Visual Studio, делая изменение еще более выраженным. Вот несколько старых учебников.

http://satvasolutions.com/combine-asp-net-identity-web-api-and-mvc-best-in-a-single-web-app/

http://blog.iteedee.com/2014/03/asp-net-identity-2-0-cookie-token-authentication/

Combine the use of authentication both for MVC pages and for Web API pages?

IdentityServer является вполне правильным решением, работает как с клиентом учетных данных и учетные данные владельца ресурса предоставить (пользователь, пароль) и Брок Аллен обычно очень быстро реагировать на SO под тегом

https://stackoverflow.com/questions/tagged/identityserver4

или на сайте GitHub по вопросам помечен как вопросы

https://github.com/IdentityServer/IdentityServer4/issues

с сервером тождественности, Еще раз, мне пришлось вернуться к основам и работать через учебники, чтобы получить понимание того, как это будет работать в мой проект.

https://identityserver4.readthedocs.io/en/release/intro/big_picture.html

Как Брки быстро указали мне на другую должность, идентичность asp.net эф это магазин пользователя и хорошо использовать с рабочим процессом владельца ресурса мандатного.

Answer 4

Пожалуйста, ознакомьтесь со следующими ссылками.

Для Asp.net Ядра https://stormpath.com/blog/token-authentication-asp-net-core

Для API https://stormpath.com/blog/rest-api-mobile-dotnet-core

Answer 5

Здесь: семинара для перемещения через различные новые части в ядре авторизации ASP.NET:

https://blogs.msdn.microsoft.com/webdev/2016/03/15/get-started-with-asp-net-core-authorization-part-1-of-2/

https://github.com/blowdart/AspNetAuthorizationWorkshop