使用Owin示例的Asp.Net Web Api安全

Question

我正在努力实现基于OWIN的身份验证和授权。 以下是我计划实施的方式。

1）基于前端的具有匿名访问权限的应用程序，用户可以使用该应用程序进行注册，该应用程序将在我们的数据库中等待批准。 管理员用户将审核用户并批准他们提供必要的角色。 2）如果由OWIN授权服务器授权，则这些用户可以通过传递凭据以获取响应来使用我们不同的api。 3）OWIN身份验证/授权是一项单独的服务，因此可以被多个应用程序用于身份验证/授权和生成令牌。

我的问题是

1）我的方向正确吗？这种方法行得通吗？ 2）是否有一个示例，其中这些应用程序是在单独的解决方案中构建的？

我看到的所有样本都使用默认模板和样本方法。 请帮助我提供任何此类可用的示例。

Answer 1

基本上，我认为您的做法正确。 但是在用户注册后，我不太了解您的工作流程。 当用户注册并且他的数据存储在数据库中时，您已经应该为他提供登录（身份验证）的能力-向他发送带有一些基本声明的令牌（承载/刷新）。 同时，如果您需要限制经过身份验证的用户使用API​​的能力，则可以通过实现角色管理（授权）来实现这一目标。

有关将授权服务器与资源服务器解耦的信息，请参阅本指南 。 该链接似乎有些陈旧，但提供了工作样本/对工作流程的理解。

另外，对于身份验证，我建议您坚持使用Json Web令牌，因为它们提供了一种通过声明转移身份验证用户状态的不错方法。 请参阅此链接。 和本指南 。