使用 MVC Core Identity 从 Web API 验证 MVC 网站用户

Question

我有两个 .net core 2.2 项目； 第一个是 MVC 项目，它类似于用户可以登录的表示层，另一个是处理数据库操作的 Web API。 我想在 Web API 中处理登录请求，并使用 MVC Core Identity 将登录结果返回给 MVC 项目。 我的 DbContext 在 Web API 项目中。 有没有根据 Web API 请求的结果创建身份 cookie？

Answer 1

在这种情况下，应该使用访问令牌而不是 cookie 来处理身份验证。

对于您的 Web API，在IdentityServer 4库的帮助下实施OAuth2 协议的资源所有者密码凭证授权类型。 最后，您应该能够从 API 获取访问令牌以交换登录凭据。

对于您的 MVC 项目，创建一个表来存储令牌-sessid 对，因此当 MVC 应用程序在会话期间从 API 获取访问令牌时，它会将它们保存在表中。 对于后续请求，MVC 应用程序将从表中获取令牌（通过使用 sessid）并使用它来访问 Web API。

Answer 2

首先在服务器端 MVC 的启动类中添加->

 services.AddAuthentication(options => { 
        options.DefaultScheme = "Cookies"; 
    }).AddCookie("Cookies", options => {
        options.Cookie.Name = "auth_cookie";
        options.Cookie.SameSite = SameSiteMode.None;
        options.Events = new CookieAuthenticationEvents
        {                          
            OnRedirectToLogin = redirectContext =>
            {
                redirectContext.HttpContext.Response.StatusCode = 401;
                return Task.CompletedTask;
            }
        };                
    });

然后在您的 MVC 登录控制器中

[HttpPost]
public async Task<IActionResult> Login(string username, string password)
{
    if (!IsValidUsernameAndPasswod(username, password))
        return BadRequest();

    var user = GetUserFromUsername(username);

    var claimsIdentity = new ClaimsIdentity(new[]
    {
        new Claim(ClaimTypes.Name, user.Username),
        //...
    }, "Cookies");

    var claimsPrincipal = new ClaimsPrincipal(claimsIdentity);
    await Request.HttpContext.SignInAsync("Cookies", claimsPrincipal);

    return NoContent();
}

请注意，我们正在引用我们在 Startup.cs 中定义的“Cookies”身份验证方案。

之后在你的网络 api->

CookieContainer cookieContainer = new CookieContainer();
HttpClientHandler handler = new HttpClientHandler
{
    CookieContainer = cookieContainer
};
handler.CookieContainer = cookieContainer;
var client = new HttpClient(handler);

var loginResponse = await client.PostAsync("http://yourdomain.com/api/account/login?username=theUsername&password=thePassword", null);
if (!loginResponse.IsSuccessStatusCode){
    //handle unsuccessful login
}

var authCookie = cookieContainer.GetCookies(new Uri("http://yourdomain.com")).Cast<Cookie>().Single(cookie => cookie.Name == "auth_cookie");

//Save authCookie.ToString() somewhere
//authCookie.ToString() -> auth_cookie=CfDJ8J0_eoL4pK5Hq8bJZ8e1XIXFsDk7xDzvER3g70....

这应该可以帮助您完成任务。 当然可以根据您的要求更改值，但因此代码将是一个很好的参考点。

还要添加所需的代码以从您的 Web API 应用程序设置 cookie。 希望能帮助到你！

Answer 3

1.只有两种服务

如果您的系统只有两种服务（前端和后端），您可以在前端使用 Cookie 进行所有身份验证方案，并使用您的 api 进行用户验证。

在您的 Web 应用程序中实现登录页面，并通过调用后端端点（您的 api）的登录操作方法（post）验证用户，您可以在其中验证数据库的凭据。 请注意，您不需要在互联网上发布此端点。

配置服务：

services.AddAuthentication(options =>
{
    options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
})
.AddCookie(options =>
{
    options.LoginPath = "/auth/login";
    options.LogoutPath = "/auth/logout";
});

授权控制器：

[HttpPost]
public IActionResult Login([FromBody] LoginViewModel loginViewModel)
{
    User user = authenticationService.ValidateUserCredentials(loginViewModel.Username, loginViewModel.Password);

    if (user != null)
    {
        var claims = new List<Claim>
        {
            new Claim(ClaimTypes.Name, user.UserName),
            new Claim(ClaimTypes.Role, user.Role),
            new Claim(ClaimTypes.Email, user.Email)
        };
        var identity = new ClaimsIdentity(claims, CookieAuthenticationDefaults.AuthenticationScheme);
        var principal = new ClaimsPrincipal(identity);

        await HttpContext.SignInAsync(principal);

        return Redirect(loginViewModel.ReturnUrl);
    }

    ModelState.AddModelError("LoginError", "Invalid credentials");
    return View(loginViewModel);
}

2. OAuth2 或 OpenId Connect 专用服务器

但是如果你想实现你自己的授权服务或身份提供者，它可以被你的所有应用程序（包括前端和后端）使用，我建议你使用 OAuth2 或 OpenId 等标准创建你自己的服务器。 该服务应专门用于此目的。

如果您的服务是网络核心，您可以使用IdentityServer 。 是经过OpenIdConnect认证的中间件，非常完备，可扩展。 您拥有丰富的文档，并且很容易为 OAuth2 和 OpenId 实施。 您可以添加 dbContext 以使用您的用户模型。

您的 Web 应用程序 ConfigureServices：

services.AddAuthentication(options =>
{
    options.DefaultScheme = "Cookies";
    options.DefaultChallengeScheme = "oidc";
})
.AddCookie("Cookies")
.AddOpenIdConnect("oidc", options =>
{
    options.SignInScheme = "Cookies";
    options.Authority = "https://myauthority.com";
    options.ClientId = "client";
    options.ClientSecret = "secret";
    options.SaveTokens = true;
    options.Scope.Clear();
    options.Scope.Add("myapi");
    // ...
}

您的身份提供者 ConfigureServices：

services.AddIdentityServer()
    .AddInMemoryClients(Config.GetClients())
    .AddInMemoryApiResources(Config.GetApis())
    .AddInMemoryIdentityResources(Config.GetIdentityResources())
    .AddConfigurationStore(options =>
    {
        options.ConfigureDbContext = builder =>
            builder.UseSqlServer(connectionString,
                sql => sql.MigrationsAssembly(migrationsAssembly));
    })
    .AddDeveloperSigningCredential();

通过这种方式，您的前端将请求访问访问 api 所需的范围。 前端将收到具有此范围的访问令牌（如果允许此客户端用于请求的范围）。 这些 api 反过来可以使用验证中间件验证访问令牌，如下所示：

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.Authority = "https://myauthority.com";
        options.Audience = "myapi";
    });

3.自定义远程处理程序

如果您仍然喜欢自己实现一些远程的东西，您可以实现您的自定义RemoteAuthenticationHandler 。 这个抽象类帮助您重定向到远程登录服务（您的 api），并使用您的 Web 应用程序中的授权结果处理回调重定向的结果。 此结果用于填充用户 ClaimsPrincipal，如果您以这种方式配置 Web 应用程序身份验证服务，您可以在 Cookie 中维护用户会话：

services.AddAuthentication(options =>
{
    options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = "CustomScheme";
})
.AddCookie()
.AddRemoteScheme<CustomRemoteAuthenticationOptions, CustomRemoteAuthenticationHandler>("CustomScheme", "Custom", options =>
{
    options.AuthorizationEndpoint = "https://myapi.com/authorize";
    options.SignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.SaveTokens = true;
    options.CallbackPath = "/mycallback";
});

您可以将远程处理程序OAuthHandler或OpenIdConnectHandler视为实现您的处理程序的指南。

实现您自己的处理程序（和处理程序选项）可能很麻烦且不安全，因此您应该考虑第一个选项。

Answer 4

我不确定我是否完全了解您的问题陈述。 我假设您正在寻求某种机制，使用户能够将他们的身份从 Web 客户端一直传递到您的 DbContext。 我还假设您并没有真正对 MVC 应用程序上的用户进行身份验证，而是基本上将他们的请求代理到 WebAPI 上。

如果是这样，您可能需要考虑制作一个JWT （最好是签名的）令牌作为您的 WebAPI 响应，然后将其存储在客户端上（我猜 cookie 是一个足够好的机制）。

然后 MVC 项目将自然地通过会话状态获得令牌，您所要做的就是将它与您发出的每个 WebAPI 请求一起传递。