在ASP.NET中进行安全单点登录，以通过OpenID从其他（php）网站进行身份验证

Question

我需要在asp.net上实现以下身份验证：ASP.NET和PHP网站上的用户应使用OpenID进行身份验证。 登录和注册仅存在于PHP网站上。 因此，要求是：

• 我的ASP.NET网站应重定向到PHP网站进行身份验证。 用户将使用PHP网站上的OpenID进行身份验证。
• 如果用户是我的ASP.NET网站的新用户（我计划使用Coookie），它将使用空的参数进行重定向。 否则，我将在重定向请求中传递存储的OpenID。
• 如果传递的OpenID为空，则PHP网站会向用户显示登录页面，并允许用户进行身份验证和注册。 如果传递的OpenID不为空。 PHP网站应检查其有效状态。
• 仅当身份验证/注册成功后，PHP网站才将我将用于用户的OpenID重定向回我的ASP.NET网站。
• 当然，此过程必须是安全的。

我发现应该使用FormAuthentication在Application_AuthenticateRequest事件中的Global.asax中实现对身份验证的检查。 我这样计划

protected void Application_AuthenticateRequest(Object sender, EventArgs e) {
  if(HttpContext.Current.User != null) {
    // Extract the forms authentication cookie if exists.

    // Redirects to the php website using the OpenID extracted from the cookies, or empty.
    // Pass also a new generated token to secure the communication.

  } else {
    // Store a new GeneralPrincipal to the HttpContext.Current.User.
  }
}

protected void Application_BeginRequest(Object sender, EventArgs e) {
  // Check for the redirected back token and OpenID.

  // Create FormsAuthenticationTicket for the openid and store it in the cookie.
}

问题是，我无法在会话中保存生成的令牌，因为SessionState当时未初始化。

解决上述要求的最佳实践是哪种？

Answer 1

我已经通过对我所有应该保护的站点使用基页类来解决该问题。 像这样的每个请求都会在OnInit中检查用户

protected override void OnInit(EventArgs e) {
// Check Identity.
if(HttpContext.Current.User.Identity.IsAuthenticated) {
  // The user is already authenticated.
  // Get the user...
  return;    
}
// Check if the php server sends request with token.
if(!string.IsNullOrEmpty(Request.QueryString["token"])) {
  try {
    // Get user from the PHP-Server by the token.
    //...
    // Remove old FormsAuthentication.
    FormsAuthentication.SignOut();
    // Save new authentication.
    SaveAuthentication();
  } catch(Exception exception) {
    // Handle...
    return;
  }
} else {
   // Get new php-token and redirect to the php-server for the authentication.
   //...
}

对于可本地化的ASP.NET网站，可以使用InitializeCulture方法来实现。