使用OWIN标识从多个API客户端注册Web API 2外部登录

1 回答

• 46

  Update: things have changed since I wrote this post in January ：MSFT发布了他们的官方OpenID连接客户端中间件，我与@manfredsteyer一起努力使Katana内置的OAuth2授权服务器适应OpenID连接 . 这种组合可以提供更简单，功能更强大的解决方案，不需要任何自定义客户端代码，并且与标准OAuth2 / OpenID连接客户端100％兼容 . 我在1月提到的不同步骤现在可以用几行代替：

  Server:

  app.UseOpenIdConnectServer(options =>
  {
      options.TokenEndpointPath = new PathString("/connect/token");
      options.SigningCredentials.AddCertificate(certificate);
  
      options.Provider = new CustomOpenIdConnectServerProvider();
  });
  

  Client:

  app.UseOpenIdConnectAuthentication(new OpenIdConnectAuthenticationOptions
  {
      Authority = "http://localhost:55985/",
  
      ClientId = "myClient",
      ClientSecret = "secret_secret_secret",
      RedirectUri = "http://localhost:56854/oidc"
  });
  

  您可以在GitHub存储库中找到所有详细信息（和不同的示例）：

  https://github.com/aspnet-contrib/AspNet.Security.OpenIdConnect.Server

  https://github.com/aspnet-contrib/AspNet.Security.OpenIdConnect.Server/tree/dev/samples/Nancy

  ---

  Josh，你肯定是在正确的轨道上，你的_717324实现似乎相当不错（我想你已经使用了 Microsoft.Owin.Security.Facebook/Google/Twitter 预定义的OWIN中间件） .

  您需要做的是创建自己的自定义 OAuth2 authorization server . 你有很多选择来实现这一目标，但最简单的方法可能就是在你的OWIN Startup类中插入 OAuthAuthorizationServerMiddleware . 你会在 Microsoft.Owin.Security.OAuth Nuget包中找到它 .

  虽然最好的做法是创建一个单独的项目（通常称为“AuthorizationServer”），但我个人更喜欢将它添加到我的“API项目”中，而不是在多个API中使用它（在这里，你必须插入它）在托管“api.prettypictures.com”的项目中 .

  您将在Katana存储库中找到一个很好的示例：

  https://katanaproject.codeplex.com/SourceControl/latest#tests/Katana.Sandbox.WebServer/Startup.cs

  app.UseOAuthAuthorizationServer(new OAuthAuthorizationServerOptions
  {
      AuthorizeEndpointPath = new PathString("/oauth2/authorize"),
      TokenEndpointPath = new PathString("/oauth2/token"),
      ApplicationCanDisplayErrors = true,
  
      AllowInsecureHttp = true,
  
      Provider = new OAuthAuthorizationServerProvider
      {
          OnValidateClientRedirectUri = ValidateClientRedirectUri,
          OnValidateClientAuthentication = ValidateClientAuthentication,
          OnGrantResourceOwnerCredentials = GrantResourceOwnerCredentials,
      },
      AuthorizationCodeProvider = new AuthenticationTokenProvider
      {
          OnCreate = CreateAuthenticationCode,
          OnReceive = ReceiveAuthenticationCode,
      },
      RefreshTokenProvider = new AuthenticationTokenProvider
      {
          OnCreate = CreateRefreshToken,
          OnReceive = ReceiveRefreshToken,
      }
  });
  

  不要犹豫，浏览整个项目，看看如何使用简单的Razor文件实现授权许可表 . 如果您更喜欢ASP.NET MVC或NancyFX等更高级别的框架，请创建自己的 AuthorizationController 控制器和 Authorize 方法（确保同时接受GET和POST）并使用属性路由来匹配OAuth2授权服务器中定义的AuthorizeEndpointPath（即. [Route("oauth2/authorize")] 在我的示例中，我已将 AuthorizeEndpointPath 更改为使用 oauth2/ 作为路径库 .

  您需要做的另一件事是在Web应用程序中添加OAuth2授权客户端 . 遗憾的是，Katana中没有通用的OAuth2客户端支持，您必须自己构建 . 我个人向Katana团队提交了一份提案，但遭到拒绝 . 但不要惊慌，这很容易做到：

  复制相应的来自Microsoft.Owin.Security.Google存储库的文件：https://katanaproject.codeplex.com/SourceControl/latest#src/Microsoft.Owin.Security.Google/GoogleOAuth2AuthenticationHandler.cs

  您需要 GoogleOAuth2AuthenticationHandler ， GoogleOAuth2AuthenticationMiddleware ， GoogleOAuth2AuthenticationOptions ， GoogleAuthenticationExtensions （您必须删除与Google OpenID实施相对应的前2种方法）， IGoogleOAuth2AuthenticationProvider ， GoogleOAuth2ReturnEndpointContext ， GoogleOAuth2AuthenticationProvider ， GoogleOAuth2AuthenticatedContext 和 GoogleOAuth2ApplyRedirectContext . 在托管"webpics.com"的项目中插入这些文件后，请相应地重命名这些文件并更改 GoogleOAuth2AuthenticationHandler 中的授权和访问令牌 endpoints URL，以匹配您在OAuth2授权服务器中定义的URL .

  然后，将重命名的/ custom GoogleAuthenticationExtensions 中的Use方法添加到您的OWIN Startup类中 . 我建议您使用 AuthenticationMode.Active ，以便将您的用户直接重定向到您的API OAuth2授权终结点 . 因此，您应该禁止"api.prettypictures.com/Account/ExternalLogins"往返并让OAuth2客户端中间件更改401响应以将客户端重定向到您的API .

  祝好运 . 如果您需要更多信息，请不要犹豫;）

  回复于 2024-05-03T20:38:46+08:00