按照在线教程使用 OWIN 使用基于 token 的身份验证后,我设法让我的测试应用程序根据硬编码的用户名/密码进行身份验证,就像演示一样。
但是,现在我希望使用我的网络应用程序中的模型。
正如演示所说,我的身份验证发生在这段代码中。
namespace UI
{
public class AuthorisationServerProvider : OAuthAuthorizationServerProvider
{
public override async Task ValidateClientAuthentication(OAuthValidateClientAuthenticationContext context)
{
context.Validated(); // Means I have validated the client.
}
public override async Task GrantResourceOwnerCredentials(OAuthGrantResourceOwnerCredentialsContext context)
{
// Here we validate the user...
var identity = new ClaimsIdentity(context.Options.AuthenticationType);
if (context.UserName == "user" && context.Password == "password")
{
identity.AddClaim(new Claim(ClaimTypes.Role, "admin"));
identity.AddClaim(new Claim("username", "user"));
identity.AddClaim(new Claim(ClaimTypes.Name, "My Full Name"));
context.Validated(identity);
}
else
{
context.SetError("Invalid grant", "Username or password are incorrect");
return;
}
}
}
}
我有一个 WebAPI Controller ,我从它接收一个模型,并且...不确定如何从我的 webapi Controller 调用上面的代码。目前,上面的代码需要调用 myurl/token - 这是在启动代码中定义的。
public class Startup
{
public void Configuration(IAppBuilder app)
{
// Enables cors origin requests.
app.UseCors(Microsoft.Owin.Cors.CorsOptions.AllowAll);
// Config OAuth authorisation server;
var myProvider = new AuthorisationServerProvider();
OAuthAuthorizationServerOptions options = new OAuthAuthorizationServerOptions
{
AllowInsecureHttp = true, // Live version should use HTTPS...
TokenEndpointPath = new PathString("/token"),
AccessTokenExpireTimeSpan = TimeSpan.FromDays(1),
Provider = myProvider
};
app.UseOAuthAuthorizationServer(options);
app.UseOAuthBearerAuthentication(new OAuthBearerAuthenticationOptions());
HttpConfiguration config = new HttpConfiguration();
WebApiConfig.Register(config);
}
}
所以,我猜我的 webapi 调用的 url 应该是/token?因此,在我的 UI 上的(Knockout View 模型)代码中,我尝试了这个:
Login()
{
var data = {
username : this.login.emailAddress(),
password : this.login.password(),
RememberMe: this.login.rememberMe(),
grant_type: "password"
}
return $.ajax({
type: "POST",
data: data ? JSON.stringify(data) : null,
dataType: "json",
url: "/token",
contentType: "application/json"
}).done((reply) => {
alert("Done!");
});
}
但是,我得到一个异常(exception):
“error”: “unsupported_grant_type”
在“Postman”中,我能够验证硬编码的用户名/密码。
但我不确定如何从我的 UI 连接我的 api 调用以进行身份验证。
我希望在我的 api Controller (ASP.Net WebAPI) 上创建一个“登录”方法,如下所示:
[Route("login"), HttpPost, AllowAnonymous]
public ReplyDto Login(LoginRequest login)
{
ReplyDto reply = _userService.Login(login.Email, login.Password);
return reply;
}
因此,我的 _userService 检查用户是否在数据库中...如果是,请在此处调用我的 OAuth 身份验证并传递一些参数。但不确定这是否可能。我可以通过这个 api 方法调用我的身份验证吗?不过,我需要删除/token 位。
最佳答案
您不需要创建登录方法,因为您已经有了它。这是http://localhost:1234/token .如果用户存在并且密码正确,这将生成一个 token 。但是要获得这种行为,您需要通过从 OAuthAuthorizationServerProvider
派生来实现自己的 AuthServerProviderpublic class DOAuthServerProvider : OAuthAuthorizationServerProvider
然后您将覆盖一个方法来实现您的逻辑:
public override async Task GrantResourceOwnerCredentials(OAuthGrantResourceOwnerCredentialsContext context)
{
try
{
string allowedOrigin = context.OwinContext.Get<string>(DOAuthStatic.ALLOWED_CORS_ORIGINS_KEY);
if (allowedOrigin != null)
{
context.OwinContext.Response.Headers[DOAuthStatic.CORS_HEADER] = allowedOrigin;
}
DAuthenticationResponse authResponse = await _authRepository.Authenticate(context.UserName, context.Password);
if (!authResponse.IsAuthenticated)
{
context.SetError(OAuthError.InvalidGrant, $"{(int)authResponse.AuthenticateResult}:{authResponse.AuthenticateResult}");
return;
}
if (authResponse.User.ChangePasswordOnLogin)
{
_userAuthenticationProvider.GeneratePasswordResetToken(authResponse.User);
}
IDictionary<string, string> props = new Dictionary<string, string>
{
{
DOAuthStatic.CLIENT_NAME_KEY, context.ClientId ?? string.Empty
}
};
ValidateContext(context, authResponse, props);
}
catch (Exception ex)
{
DLogOAuth.LogException(ex, "DCO0407E", "OAuthServerProvider - Error validating user");
throw;
}
}
您几乎完成了,您只需要再执行两个步骤:
- 在您的方法或 Controller 上添加 AuthorizeAttribute 以限制未经身份验证的用户的访问。
- 添加您请求 header 的访问 token 。如果你跳过这一步,你应该得到一个 401 HTTP 状态代码,意思是未经授权。您可以通过这种方式确认您在第一步中添加的授权属性是否有效。
这里有一系列很棒的教程,可以很好地解释所有内容:Token based authentication (比我好多了 :) )
关于c# - Asp.Net WebApi OWIN 身份验证,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/42546681/