首页 文章

ClaimsPrincipal的作用是什么，为什么它有多个身份？

提问于
浏览 次
16

我试图基于应用程序（依赖方）的声明来理解.NET背后的安全模型 .

我知道有两大类：

  • ClaimsPrincipal - 正在运行的进程的安全上下文

  • IdentityPrincipal - 存储有关用户的信息 - 身份验证状态和声明

ClaimsPrincipal只包含一组身份和指向当前使用的身份，但据我所知，主体通常永远不会包含多于1个身份，即使它会 - 但用户从未登录过2个或更多身份 .

对我来说，ClaimsPrincipal，除了使用它来获得当前的身份，原谅我的无知，它是无用的 .

除了我所陈述的内容之外我还缺少什么，让我们说一下与ClaimsPrincipal类相关的向后兼容性？

c# .net authentication wif claims-based-identity

2 回答

  • 4

    问题原因是，ClaimsPrincipal只包含一组身份和指向当前使用的身份，但据我所知，主体通常永远不会包含多于1个身份，即使它会 - 用户永远不会登录2或更多的身份 .

    这是一个错误的假设 . 实际上，如果您的应用程序需要n因子身份验证（n> 1），则上下文中的ClaimsPrincipal将始终具有多于1个身份 .

    试着这样看 .

    委托人=用户

    身份=驾驶执照，护照，信用卡，Google帐户，Facebook帐户，RSA SecurID，指纹，面部识别等 .

    如果你被警察拉过来，他们不会根据你的驾驶执照单独验证你是谁 . 他们还需要看到你的脸 . 否则你可以显示任何驾驶执照 .

    因此，有意义的是，为什么身份验证可以并且有时应该基于多个身份 . 这就是为什么1 ClaimsPrincipal可以拥有任意数量的ClaimsIdentity .

    回复于
  • 10

    一个重要的安全原则是“谁说”，即我们是否信任声称对身份提出主张的一方，因此对于特定的声明主体，我们可能有不同的身份，每个身份都声称一组不同的声明，这使我们能够确定应用程序中的overrall访问控制，

    让我们以企业应用程序为例，该应用程序通过Windows身份验证进行身份验证，我们还希望根据应用程序数据库中的团队或部门声明某些访问控制 .

    使用ClaimsTransformationManager，我们可以统一这两个集合，即在对用户进行身份验证之后，我们可以在数据库中查找用户的团队/部门，并创建应用程序发出的一组声明 .

    因此，现在我们拥有Windows所声称的角色（它们是引擎盖下的声明）以及声明团队或部门的自定义声明的应用程序标识 .

    回复于

相关问题