asp.net-mvc - ASP.NET MVC 2 和使用 WIF (Windows Identity Foundation) 的身份验证

Question

是否有以下可用的体面示例:

看透 the WIF SDK ，有使用 WSFederationAuthenticationModule (FAM) 将 WIF 与 ASP.NET 结合使用的示例重定向到用户用来进行身份验证的安全 token 服务 (STS) 之上的 ASP.NET 站点薄皮肤(通过提供用户名和密码)。

如果我正确理解 WIF 和基于声明的访问，我希望我的应用程序提供自己的登录屏幕，用户在其中提供用户名和密码，并让这个委托(delegate)给 STS 进行身份验证，通过安全标准将登录详细信息发送到端点(WS-*)，并期望返回 SAML token 。理想情况下，SessionAuthenticationModule将按照使用 FAM 的示例工作结合 SessionAuthenticationModule即负责重建 IClaimsPrincipal从 session 安全分 block cookie 并在安全 session 到期时重定向到我的应用程序登录页面。

我用 FAM 描述的可能吗？和 SessionAuthenticationModule使用适当的 web.config 设置，或者我是否需要考虑编写 HttpModule自己来处理这个？或者，是否重定向到一个瘦网站 STS，用户在被动请求者场景中登录事实上的方法？

Answer 1

“Claims Identity Guide”的本章提供了 WIF + MVC 的示例:

http://msdn.microsoft.com/en-us/library/ff359105.aspx

我确实建议阅读前几章以了解所有基本原则。这篇博文涵盖了 MVC + WIF 的细节:

http://blogs.msdn.com/b/eugeniop/archive/2010/04/03/wif-and-mvc-how-it-works.aspx

控制登录体验非常好。您应该只部署自己的 STS(在您的域中，使用您的外观等)。您的应用程序将简单地依赖它进行 AuthN(这就是为什么应用程序通常被称为“依赖方”)。

该架构的优点是 authN 被委托(delegate)给 1 个组件(STS)，而不是分散在许多应用程序中。但另一个(巨大的)优势是您可以非常轻松地启用更复杂的场景。例如，您现在可以与其他组织的身份提供者联合。

希望能帮助到你
欧金尼奥

@新星:

token (包含声明)可以选择加密(否则它们将是明文)。这就是为什么始终建议将 SSL 用于浏览器和 STS 之间的交互。

请注意，即使它们是明文形式，也无法篡改，因为 token 是经过数字签名的。