oauth - 桥接表单例份验证和 OAUTH

Question

修改表单例份验证登录过程并不难，因此除了正常的表单例份验证之外，WebClient 对象对由使用 Thinktecture IdentityModel 设置的 Web Api DAL 提供的 api/token url 进行基本身份验证。然后可以将返回的 session token 存储在 session 字典中，供以后调用 DAL 时使用。

问题是这些 token 有不同的生命周期。

我可以重写应用程序以将凭据保存在 localStorage 中，以便根据需要重新创建 session token ，但这很丑陋，从安全角度来看也不理想。

可能有一些方法可以为其中一个或两个系统配置 token 持久性，但我不知道要使用什么搜索词(我尝试搜索 token 持久性和 token 生命周期，但结果没有帮助)。

我对关于如何最好地协调两种类型的 Web 应用程序安全性的哲学和实用建议很感兴趣。如果没有关于这个主题的答案，我会感到非常惊讶，只要我知道要搜索什么。

---

一些背景知识，因为有些人不清楚我在问什么。

有一个丑陋的老式 ASP.NET Web 应用程序，它使用基于表单的安全性

我刚刚将新内容添加为使用 Thinktecture IdentityModel 的单独 DAL 应用程序。此 DAL 由两个应用程序使用，即 ASP.NET 应用程序和 Durandal SPA。

它们使用相同的数据库进行凭证检查，因此它们具有相同的身份空间。

我修改了旧应用程序的登录过程，以便它也向 Thinktecture IdentityModel 提供凭据并从中获取 session token 。此 token 将放入 session 集合中，以便在旧应用程序调用 DAL 时显示。

如果您启动旧应用程序、进行身份验证、执行某些操作并关闭浏览器，然后重新打开浏览器，则您有一个已登录的 ASP.NET 应用程序没有发生登录，因此没有机会创建 session token 。这就是问题。我需要这两个 token 具有相同的生命周期。

---

我想到了一种可能的方法。我在下面将其作为答案呈现，以便人们可以就其优点发表意见或提出改进建议意见。如果我想到任何其他想法，我会把它们作为答案提出来，我希望你也这样做。

Answer 1

在服务器上，我知道用户 ID，无论是在生成 session token 时还是稍后在没有它的情况下重新创建 ASP.NET session 时。

我需要的是相当于 cookie 的服务器。快速搜索“服务器端 cookie”会返回几篇文章，其中一篇显然是我在 1999 年自己写的，所有这些文章都归结为“使用数据库”。

所以...我可以使用数据库。我们有一个用户表，我可以添加一列。或者我可以创建另一个包含三列的表:UID、SessionToken 和 CreatedAt。

CreatedAt 是一个日期时间，从中我可以计算出 token 是否已过期以及何时我可以使 ASP.NET session 过期以强制重新登录。

---

我最终使用了一个变体。在我的具体情况下，使用 UID，可以从用户表中获取凭据。所以我将 token 和创建时间放入 session 中，否则按上述方式进行。当 Session 不包含 token 过期时间或 token 已过期时，我获取凭据并请求 token ，然后更新 token 和过期时间。

所有这些都包含在一个异常处理程序中，该处理程序返回一个虚拟(无效) token ，其最终结果是行为与具有相同持久性的 token 相同。

您会注意到我没有使用持久表。这样，故障点就会减少，并且不依赖于编辑数据库模式的能力。在表中管理状态的成本至少与生成新 token 的成本一样高。