如何使用OWIN在Web API中结合OAuth和cookie身份验证？

Question

我有一个ASP.NET Web API项目，该项目是使用OWIN的OAuth 2授权提供程序。 OAuth访问令牌过期后，我们希望使用Cookie身份验证以静默方式更新令牌，而无需用户登录。 有没有办法做到这一点？

我们正在使用来自Angular页面的隐式授权流来访问API。 我们希望令牌定期过期，因为我们认为这样做更安全。 我们希望使用登录页面发出的cookie，以允许我们暂时释放令牌而不进行交互式登录。

我们在Startup.cs中有这个：

public void Configuration(IAppBuilder app)
{
    var webConfiguration = WebConfiguration.Initialize(WebConfigurationManager.AppSettings);
    app.UseCookieAuthentication(new CookieAuthenticationOptions
    {
        AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
        AuthenticationMode = AuthenticationMode.Passive,
        LoginPath = new PathString("/logon"),
        ExpireTimeSpan = webConfiguration.Authentication.CookieExpirationTimeSpan
    });

    app.UseOAuthBearerAuthentication(new OAuthBearerAuthenticationOptions());

    app.UseOAuthAuthorizationServer(
        new OAuthAuthorizationServerOptions
        {
            AllowInsecureHttp = true,
            AuthorizeEndpointPath = new PathString("/oauth/authorize"),
            AccessTokenExpireTimeSpan = webConfiguration.OAuth.AccessTokenExpirationTimeSpan,
            Provider = new LegacyAuthorizationServerProvider(
                new OAuthClientValidator(new WebConfigurationOAuthClientSource(webConfiguration)),
                new LegacyAuthenticator(new AuthenticationResultHandlerFactory(), new RefreshTokenResultHandler())),
        });
    var httpConfiguration = new HttpConfiguration();

    httpConfiguration.SuppressDefaultHostAuthentication();

    httpConfiguration.Filters.Add(new HostAuthenticationAttribute(OAuthDefaults.AuthenticationType));

}

然后，在我们的LegacyAuthorizationServerProvider中，我们有：

public class LegacyAuthorizationServerProvider : OAuthAuthorizationServerProvider
{
    ...
    private async Task Authorize(OAuthAuthorizeEndpointContext context)
    {
        if (context == null) { throw ArgumentIs.Null(nameof(context)); }

        var authenticateResult = await context.OwinContext.Authentication.AuthenticateAsync(DefaultAuthenticationTypes.ApplicationCookie);
        if (authenticateResult?.Identity == null)
        {
            context.OwinContext.Authentication.Challenge(DefaultAuthenticationTypes.ApplicationCookie);
        }
        else
        {
            var claimsIdentity = new ClaimsIdentity(
                authenticateResult.Identity.Claims,
                "Bearer",
                "sub",
                "role");

            context.OwinContext.Authentication.SignIn(claimsIdentity);
        }

        context.RequestCompleted();
    }

我们已将AccessTokenExpirationTimeSpan设置为15分钟，并将CookieExpirationTimeSpan设置为10小时，目的是在令牌未过期之前不登录就发行令牌。 问题在于OAuth访问令牌过期后，AuthenticateAsync（）返回null。 只有在令牌过期之前调用授权，它才会成功。

仅供参考，以下是登录页面控制器中用于登录的代码：

    [HttpPost]
    [ActionName("logon")]
    public ActionResult LogOnPost(LogOnFormModel form)
    {
        if (form == null) 
        { 
            return new HttpStatusCodeResult(HttpStatusCode.BadRequest, Resources.AuthenticationController_LogOnPost_NullFormResultMessage); 
        }

        var context = new LegacyAuthenticationContext(form.UserName, form.Password);

        _legacyAuthenticator.Authenticate(context);

        if (context.Authenticated)
        {
            var claimsIdentity = new ClaimsIdentity(
                context.CreateClaims(),
                "sub",
                "role");

            HttpContext.GetOwinContext().Authentication.SignIn(claimsIdentity);
        }
        return LogOn();
    }

有没有一种方法可以使用Cookie进行身份验证来代替用户登录（当我们发布另一个OAuth令牌时）？ Cookie过期后，我们将需要再次登录。

Answer 1

我们发现Cookie的有效期在某个时候被覆盖了。 我们仍然不确定为什么。 但是，我们现在正在使用以下解决方法：

    private class CookieProvider : CookieAuthenticationProvider
    {
        public CookieProvider()
        {
            OnResponseSignIn = SignIn;
        }

        private void SignIn(CookieResponseSignInContext obj)
        {
            if (obj.Properties.IssuedUtc.HasValue)
            {
                obj.Properties.ExpiresUtc = obj.Properties.IssuedUtc.Value.Add(obj.Options.ExpireTimeSpan);
            }
        }
    }

我们在Startup.Auth.cs中将此提供程序添加为CookieAuthenticationOptions.Provider的一部分