ASP.NET Web API中的用户身份验证

这个话题使我感到困惑。我是HTTP应用程序的新手，但需要开发一个iPhone客户端，该客户端从某个地方使用JSON数据。我之所以选择MS的Web API，是因为它看起来很简单，但是在进行用户身份验证时，事情变得非常令人沮丧。

在经过数小时的谷歌搜索后Authorize，我无法找到一个清晰的示例来说明如何对用户进行身份验证，这从登录屏幕一直到在我的ApiController方法上使用属性令我感到惊讶。

这不是问题，而是要求提供有关如何精确执行此操作的示例的请求。我看了以下几页：

• 确保ASP.NET Web API的安全
• 使用ASP.NET Web API的基本身份验证

即使这些内容解释了如何处理未经授权的请求，但这些内容都没有清楚地显示出诸如a LoginController或类似的东西来询问用户凭据并对其进行验证。

有人愿意写一个简单的例子或指出正确的方向吗？

谢谢。

在几个小时的谷歌搜索之后，我无法找到一个清晰的示例来说明如何对用户进行身份验证，这从登录屏幕一直到在ApiController方法上使用Authorize属性，我感到惊讶。

这是因为您对这两个概念感到困惑：

• 认证是系统可以安全地标识其用户的机制。身份验证系统为以下问题提供了答案：

  • 用户是谁？
  • 用户真的是他/她自己代表的人吗？

• 授权是一种机制，系统通过该机制确定特定的经过身份验证的用户对系统控制的安全资源应具有的访问级别。例如，可以设计数据库管理系统，以便为某些特定的个人提供从数据库中检索信息的能力，而不是为更改存储在数据库中的数据的能力，同时为其他个人提供更改数据的能力。授权系统提供以下问题的答案：

  • 用户X是否有权访问资源R？
  • 用户X是否有权执行操作P？
  • 用户X是否被授权对资源R执行操作P？

AuthorizeMVC中的属性用于应用访问规则，例如：

 [System.Web.Http.Authorize(Roles = "Admin, Super User")]
 public ActionResult AdministratorsOnly()
 {
     return View();
 }

上面的规则将仅允许具有Admin和Super User角色的用户访问该方法

也可以使用location元素在web.config文件中设置这些规则。例：

  <location path="Home/AdministratorsOnly">
    <system.web>
      <authorization>
        <allow roles="Administrators"/>
        <deny users="*"/>
      </authorization>
    </system.web>
  </location>

但是，在执行这些授权规则之前，必须先对当前网站进行身份验证。

即使这些解释了如何处理未经授权的请求，也没有清楚地演示诸如LoginController之类的内容或要求用户凭据并对其进行验证的内容。

从这里，我们可以将问题分成两部分：

• 在同一Web应用程序中使用Web API服务时对用户进行身份验证

  这将是最简单的方法，因为您将依赖ASP.Net中的身份验证

  这是一个简单的示例：

  Web.config

  <authentication mode="Forms">
    <forms
      protection="All"
      slidingExpiration="true"
      loginUrl="account/login"
      cookieless="UseCookies"
      enableCrossAppRedirects="false"
      name="cookieName"
    />
  </authentication>
  

  用户将被重定向到帐户/登录路线，在那里您将呈现自定义控件以询问用户凭据，然后使用以下命令设置身份验证cookie：

      if (ModelState.IsValid)
      {
          if (Membership.ValidateUser(model.UserName, model.Password))
          {
              FormsAuthentication.SetAuthCookie(model.UserName, model.RememberMe);
              return RedirectToAction("Index", "Home");
          }
          else
          {
              ModelState.AddModelError("", "The user name or password provided is incorrect.");
          }
      }
  
      // If we got this far, something failed, redisplay form
      return View(model);
  

• 跨平台认证

  这种情况是在您仅在Web应用程序中公开Web API服务时，因此，您将有另一个客户端使用该服务，该客户端可以是另一个Web应用程序或任何.Net应用程序（Win Forms，WPF，控制台，Windows服务，等等）

  例如，假定您将使用同一网络域（在Intranet内）中另一个Web应用程序提供的Web API服务，在这种情况下，您可以依赖ASP.Net提供的Windows身份验证。

  <authentication mode="Windows" />

  如果您的服务在Internet上公开，则需要将经过身份验证的令牌传递给每个Web API服务。

  有关更多信息，请掠夺以下文章：

  • http://stevescodingblog.co.uk/basic-authentication-with-asp-net-webapi/

  • http://codebetter.com/johnvpetersen/2012/04/02/making-your-asp-net-web-apis-secure/

如果要通过用户名和密码进行身份验证，并且没有授权cookie，则MVC4 Authorize属性将无法立即使用。但是，您可以将以下辅助方法添加到控制器中以接受基本身份验证标头。从控制器方法的开头调用它。

void EnsureAuthenticated(string role)
{
    string[] parts = UTF8Encoding.UTF8.GetString(Convert.FromBase64String(Request.Headers.Authorization.Parameter)).Split(':');
    if (parts.Length != 2 || !Membership.ValidateUser(parts[0], parts[1]))
        throw new HttpResponseException(Request.CreateErrorResponse(HttpStatusCode.Unauthorized, "No account with that username and password"));
    if (role != null && !Roles.IsUserInRole(parts[0], role))
        throw new HttpResponseException(Request.CreateErrorResponse(HttpStatusCode.Unauthorized, "An administrator account is required"));
}

在客户端，此帮助程序将创建一个HttpClient带有身份验证标头的：

static HttpClient CreateBasicAuthenticationHttpClient(string userName, string password)
{
    var client = new HttpClient();
    client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Basic", Convert.ToBase64String(UTF8Encoding.UTF8.GetBytes(userName + ':' + password)));
    return client;
}

我正在从事MVC5 / Web API项目，需要能够获得Web Api方法的授权。首次加载索引视图时，我会调用“令牌” Web API方法，该方法相信会自动创建。

获取令牌的客户端代码（CoffeeScript）为：

getAuthenticationToken = (username, password) ->
    dataToSend = "username=" + username + "&password=" + password
    dataToSend += "&grant_type=password"
    $.post("/token", dataToSend).success saveAccessToken

如果成功，将调用以下命令，这会将身份验证令牌保存在本地：

saveAccessToken = (response) ->
    window.authenticationToken = response.access_token

然后，如果需要对具有[Authorize]标记的Web API方法进行Ajax调用，则只需将以下标头添加到我的Ajax调用中：

{ "Authorization": "Bearer " + window.authenticationToken }