c# - 基于声明、基于 token 和表单例份验证在 mvc 4 中一起使用

Question

我们正在使用 Backbone + MVC 4 构建单页应用程序。在服务器端 (MVC 4)，我们使用了 MVCController(很少)和 webapi Controller 。到目前为止，在此应用程序中我们使用了基于表单的身份验证。此外，我们也在 session 中存储用户信息。现在，要求客户也希望通过他的其他窗口/移动应用程序使用这些 webapi。我们相信我们可以公开所有 webapi Controller 。但这里有几个问题:

1) 目前，所有的 webapi 都是通过表单认证来保护的。但是当这些 webapi 将与 windows/ native 移动应用程序一起使用时，基于表单的身份验证将不起作用(因为它在内部使用 cookie)。我们将必须为其提供基于 token 的身份验证。基于 token 的身份验证是否与基于声明的身份验证相同？

2) 我们的授权框架有点复杂，我们必须在用户登录时从数据库中获取所有权限并将它们存储在 session 中。对于进一步的请求，我们从 session 中获取用户权限。在内部 sessionId 在 cookie 中传递。当 WebApi 将被其他应用程序(本地和移动)命中时，这将不起作用。如果我们能想出任何其他方法在服务器上存储此信息，我们可以考虑从应用程序中删除 session 使用。

如果没有任何效果，我们可以考虑再创建一个项目，我们将在其中复制所有 webapi 并在那里使用基于 token /基于声明的身份验证。

提前致谢

Answer 1

1) 基于 token 的身份验证提供了执行基于声明的身份验证的方法。它允许您传输对 HTTP 请求的声明，并通过执行签名验证来验证声明是否来自受信任的来源。

您应该使用 JWT token 来保护您的 API .在您的 API 中，您检查传入请求 header 中是否存在 JWT token ，如果存在，则使用 token 处理程序包将 token 解码为 ClaimsPrincipal。

一旦您拥有主体，您就可以使用标准过滤器属性将您喜欢的任何授权规则应用到您的 API 端点

2) Web API 应该是无状态的，您应该从 API 层中删除 session 使用。

你需要考虑的是...

i) 用户如何在您的系统中唯一地标识自己？您有“客户 ID”\“用户 ID”或其他标识符吗？ (授权)

ii) 一旦你可以唯一地识别某人，你如何决定允许该身份访问哪些资源 (AuthZ)

您是否绝对需要在用户登录时从数据库中加载所有权限，或者只加载那些允许您唯一标识登录的权限？

您可以设计一个具有一组声明的 JWT token ，这些声明允许您在 API 请求中传递 token ，这样做意味着您不再需要将数据存储在服务器上，因为 authn\authz 信息现在是HTTP 请求。

这里需要好的设计。 JWT token 中的信息太多，对您的 API 的每个请求都会有很大的负载。信息不足，您的 API 将需要获取做出授权决策所需的任何其他数据。您需要确定正确的余额是多少。

看看Identity Server on Github .它有一些有用的演示项目，以及指向一般身份验证主题的良好链接。