asp.net-mvc - 使用 web api 和 asp.net mvc 5 单点登录

Question

我希望将 SSO 与 web api 2.2 一起用于多个应用程序，包括移动和 asp.net mvc 5。

我得到了通过 web api 创建身份验证 token 的基本想法，但我有几个问题:

1- 将身份验证 token 与用户名一起存储在 cookie 中是否安全？

2- 我可以将该身份验证与 mvc 中的身份框架联系起来并能够使用角色吗？

3- 如何验证角色？我是否必须为每个标记为具有特定角色授权的 Controller 向 api 发送请求，以确保它是用户的正确角色？

4- 如果我从 Web 应用程序登录并获取身份验证 token ，然后尝试从移动设备登录，它会发送相同的 token 吗？

Answer 1

好的，我将用我所做的来回答这个问题。

基本架构将分为三个主要部分:

1- 身份服务器 4(使用 asp.net 核心)。

2- Web api(使用 asp.net 核心)。

3- 客户端(使用 angular 2)，但是您也可以使用任何客户端框架或 asp.net 核心。

身份服务器将生成 token ，这些 token 将随每个请求发送到 Web api，并且它确实支持 asp.net 身份和角色。通过这种方式，您可以轻松地将其扩展到移动设备并随每个请求发送 token 。

链接到身份服务器 4 文档:
http://docs.identityserver.io/en/release/quickstarts/6_aspnet_identity.html

链接到 github，您可以在其中找到更多示例:
https://github.com/IdentityServer/IdentityServer4

android 使用身份服务器 4:
https://github.com/leo9223/Android-Resource-Owner-Flow-client-for-IdentityServer4

注意:对于 asp.net mvc 5，您可以使用 cookie 身份验证(不适用于移动设备)，但将为单独的应用程序提供 SSO。