.net - ServiceStack 中提供基于 token 的身份验证的推荐实现模式是什么？

Question

我有一组基于 ServiceStack 的服务需要使用 OAuth2 相互验证。具体而言，这些服务将使用 OAuth2 客户端凭证流从外部身份验证服务检索引用 token 。

服务栈 doesn't support直接与此流程集成(也称为 token 身份验证)，但我已经能够提供两种不同的实现，它们“适合”框架并与身份验证服务执行必要的身份验证握手。

建议使用以下两种实现中的哪一种，或者更确切地说，不认为是滥用 ServiceStack 的集成点？

选项 1:使用请求过滤器属性来验证访问 token

public class TokenAuthenticateAttribute : RequestFilterAttribute
{
    public TokenAuthenticateAttribute(params string[] requiredScopes) { ... }

    public override void Execute(IHttpRequest request, IHttpResponse response, object requestDto)
    {
        // 1. Obtain access token from request header; return 401 on syntax error.
        // 2. Send token and scopes to authentication service for validation.
        // 3. If invalid, return 401/403 accordingly.
    }
}

public class Service
{
    [TokenAuthenticate("read", "write", "admin")]
    public ResponseType Post(RequestType request) { ... }

    [TokenAuthenticate("read")]
    public ResponseType Get(AnotherRequestType request) { ... }
}

注意:调用方必须直接从身份验证服务获取 token ，或者 API 必须提供端点以委托(delegate)给身份验证服务。

选项 2:使用自定义身份验证提供程序颁发​​和验证访问 token

// Requires registration in AppHost: base.PlugIns.Add(...)
public class TokenAuthProvider : AuthProvider
{
    public TokenAuthProvider(params string[] requiredScopes) { ... }

    public override object Authenticate(IServiceBase authService, IAuthSession session, Auth request)
    {
        // 1. Obtain client and secret from "request" (as username and password); return 401 accordingly
        // 2. If authenticated, return access token, expiration, etc...
    }

    public override bool IsAuthorized(IAuthSession session, IOAuthTokens tokens, Auth request = null)
    {
        // 1. Obtain access token from request header (HttpContext.Current); return false syntax error.
        // 2. Send token and scopes to authentication service for validation.
        // 3. Return true/false (valid/invalid) accordingly.
    }
}

public class Service
{
    [Authenticate]
    public ResponseType Post(RequestType request) { ... }

    [Authenticate]
    public ResponseType Get(AnotherRequestType request) { ... }
}

注意:所有需要身份验证的方法现在都请求相同的范围。

这两种实现在功能方面是等效的(我们可以解决范围差异)。但是，我倾向于将选项 1 作为首选，因为它不需要内部 ServiceStack 身份验证和 session 管理组件的初始化开销。这些结构在第二个实现中很明显，尽管它们从未被使用过。

你有什么想法？

相关问题: How to do token based auth using ServiceStack

Answer 1

由于您没有使用 ServiceStack 的内置 OAuth 提供程序或后端 UserAuth 存储库，我倾向于使用选项 1，因为它的移动部件最少，基本上基于 token 的身份验证只是一个验证请求过滤器——最终也是 ServiceStack 的 [Authenticate] Request Filter Attribute是幕后的，尽管更复杂，因为它与 ServiceStack 的 AuthProvider 模型集成。

两者之间的主要区别在于，因为 ServiceStack 不知道您的请求过滤器是身份验证验证器，所以您不会在元数据页面中获得 authentication key 图标来指示哪些服务需要身份验证.