asp.net - OWIN OAuth 2 token 是如何实际创建的？

Question

我们可以使用OWIN OAuth 2.0(由于this fantastic post)，但是需要更多了解HTTP响应中将ClaimsIdentity转换为实际access_token字符串的实际过程。

我们正在OAuth授权提供程序中使用此方法创建ClaimsIdentity:

public class SimpleAuthorizationServerProvider : OAuthAuthorizationServerProvider
{
    // <snip>
    public override async Task GrantResourceOwnerCredentials(OAuthGrantResourceOwnerCredentialsContext context)
    {
        // validation, user checking code here

        var identity = new ClaimsIdentity(context.Options.AuthenticationType);
        identity.AddClaim(new Claim("sub", context.UserName));
        identity.AddClaim(new Claim("role", "user")); 
        context.Validated(identity);
    }
}

当我们以grant_type=password&username=user007&password=jamesbond发出HTTP POST请求时(这里的密码松散，可以)，我们得到HTTP POST响应主体
{"access_token":"9K8VtOBseU0-XZfdGe2_urn2HESY3jLkpgvowOQFPXsHeWNOrTlTVzfPu35ZEvr4AqSj_b0laesBegtVWuR8R-aItnNXw4vXiuCg0cTNMUKP_yfi89VhD446o2X6ffL8upwZVILpomweSweIVlDmwUDzIwf1ZqubrQ8vuiQDFu-_7vpjPwJ5yVvomQ75agsJWMZk-H_bVWSObds82aM8LCRJwb2bUJchr6_L1GP8xdXqRQz24uDhHvco-XByyMSMzZm-Qo0VVBbocbgP64OJulbihVG_W9e8G69UfbX99pIYiLyE4jixiUtjOKSiMYBISW3_fg","token_type":"bearer","expires_in":1799,"as:client_id":"","userName":"user007",".issued":"Fri, 31 Oct 2014 16:02:05 GMT",".expires":"Fri, 31 Oct 2014 16:32:05 GMT"}
问题:创建实际access_token字符串的逻辑是什么？

问题中的一些具体问题

该access_token字符串的内部结构是什么？

是加密的还是签名的？使用的 key 是什么(假设IIS/Azure Cloud Service)？

我们如何覆盖生成实际发出的字符串的实现，然后在后续访问中检查相同的 token /字符串？

谢谢

Answer 1

很高兴我的帖子很有用，请找到以下答案:

1-此“魔术”字符串是加密的或签名字符串(poor MSDN documentation，指的是加密或签名，没有明确的含义)，其中包含已登录用户的所有声明和票证属性的反序列化版本。如果在IIS模式下，则通过 machineKey 节点(documentation)中的“decryptionKey”和“validationKey”键值进行加密/签名。如果作为独立的OWIN应用程序运行，则加密将使用旧版DPAPI对其进行保护，并且实际上使用过时的3DES算法(documentation)。它的默认实现在source code here中。

2-在第1点中回答。

3-检查我的new post，其中显示了如何发布签名的Json Web token 而不是默认访问 token 。

希望这能回答您的问题。