asp.net - 不记名 token - 两个因素 - ASP.NET 身份

Question

我已经实现了 ASP.NET Identity 2.0.1，我正在使用双因素身份验证进行基于 Web 的登录，我对它的使用和整体安全性感到非常满意。

但是对于通过 WebAPI 2 访问相同网站的移动设备，我使用的是 OAuth2 Bearer Token 身份验证，当然没有使用 bearer token 的双因素身份验证这样的概念。

当人们希望在移动设备上获得与基于 Web 的登录相同的双因素安全级别时，推荐的方法是什么？我错过了什么吗？

Answer 1

我是这样做的

1. 用户请求 token (通过 OAuthAuthorizationServerProvider)，无需双因素代码 - 取回具有基本声明的访问 token 。
2. 用户使用此 token 在另一个 Controller 上发帖请求双因素代码。此 Controller 方法受声明检查(检查基本声明)保护
3. 用户收到两个因素代码

4. 用户通过相同的 token 端点请求新的访问 token (传递代码作为查询参数)。

   http://localhost:12345/api/token?code=abc

   正文:{grant_type=password&username=username&password=password1}

5. 在 OAuthAuthorizationServerProvider 中 - 您需要覆盖 GrantResourceOwnerCredentials 并检查两个因素代码 - 如果代码存在且用户信用良好 - 发布一个具有更高声明的新 token ，允许访问其他资源。