两个不同的OWIN应用程序可以授权OAuth2承载访问令牌吗？ [重复]

1 回答

• 10

  是的，您可以将授权服务器和资源服务器分离 . 他们可以生活在不同的owin应用程序中，不仅如此，它们甚至可以存在于不同的服务器上 .

  authorization server 将负责向您的客户端应用程序发出访问令牌，并最终管理用户和角色 .

  resource server 将托管受保护资源，接受授权服务器发布的访问令牌 .

  查看您的基础架构， Identity API 将是授权服务器，而 Product API 将是您的资源服务器 .

  授权服务器需要配置和使用 OAuthAuthorizationServerProvider 的实现 .
  在你的创业公司你会做这样的事情：

  app.UseCors(Microsoft.Owin.Cors.CorsOptions.AllowAll);
  
  var OAuthOptions = new OAuthAuthorizationServerOptions
  {
      AllowInsecureHttp = true,
      TokenEndpointPath = new PathString("/oauth/Token"),
      AccessTokenExpireTimeSpan = TimeSpan.FromHours(8),
      Provider = new MyAuthorizationServerProvider(),
      // RefreshTokenProvider = new MyRefreshTokenProvider(DateTime.UtcNow.AddHours(8))
  };
  
  app.UseOAuthAuthorizationServer(OAuthOptions);
  app.UseOAuthBearerAuthentication(new OAuthBearerAuthenticationOptions());
  

  如您所见，我已使用 MyAuthorizationServerProvider 作为身份验证的自定义提供程序 .

  它负责验证客户端（ ValidateClientAuthentication ）并授予访问资源的授权（ GrantResourceOwnerCredentials ） .

  GrantResourceOwnerCredentials 将检查客户端的凭据（用户名和密码）是否有效并释放有效令牌：

  var ticket = new AuthenticationTicket(identity, props);
  context.Validated(ticket);
  

  AuthenticationTicket 收到 ClaimsIdentity 对象和 AuthenticationProperties 的集合 .

  您通常会在此处添加用户名声明和角色：

  ClaimsIdentity identity = new ClaimsIdentity(context.Options.AuthenticationType);
  identity.AddClaim(new Claim(ClaimTypes.Name, context.UserName));
  identity.AddClaim(new Claim(ClaimTypes.Role, "Users"));
  

  最后，您可能想要使用其他类型的声明 .
  AuthenticationProperties 集合将定义您要传递给客户端的扩展信息：

  var props = new AuthenticationProperties(new Dictionary<string, string>
  {
      { 
      "name", "John"
      },
      { 
      "surname", "Smith"
      },
      { 
      "age", "40"
      },
      { 
      "gender", "Male"
      }
  });
  

  您可以查看此github repo以查看实现 .

  您的资源服务器（负责管理业务信息的RESTful API）不必重新实现整个授权/身份验证层 .

  在您的启动（ Product API ）中，您只需指示api使用和使用承载令牌：

  public void Configuration(IAppBuilder app)
  {
      HttpConfiguration config = new HttpConfiguration();
  
      OAuthBearerAuthenticationOptions OAuthBearerOptions = new OAuthBearerAuthenticationOptions();
      app.UseOAuthBearerAuthentication(OAuthBearerOptions);
  
      WebApiConfig.Register(config);
      app.UseCors(Microsoft.Owin.Cors.CorsOptions.AllowAll);
      app.UseWebApi(config);
  }
  

  您的受保护资源将是这样的：

  [Authorize(Roles = "Users")]
  public class ProductsController : ApiController
  {
      public Models.Product GetProduct(string id)
      {
          var identity = User.Identity as ClaimsIdentity;
  
          return new Models.Product();
      }
  }
  

  正如您所看到的，我使用了 Authorize 属性，因为我只想授权某种类型的用户 .

  NOTE:

  如果要将 authorization server 和 resource server 托管到不同的计算机上，则必须确保在两台服务器上共享相同的 machineKey ，否则资源服务器将无法解密 authorization server 释放的承载令牌：

  <system.web>
      <compilation debug="true" targetFramework="4.5" />
      <httpRuntime targetFramework="4.5" />
      <machineKey validationKey="VALUE GOES HERE" 
                  decryptionKey="VALUE GOES HERE" 
                  validation="SHA1" 
                  decryption="AES"/>
  </system.web>
  

  我建议你阅读这篇article以找到关于所涉及的所有部分的非常好的解释 .

  Taisser也是另一个他经历过的地方使用Json Web Tokens实现相同结果的相同过程 .

  回复于 2024-04-28T23:05:12+08:00