使用Owin示例的Asp.Net Web Api安全

Question

我正在努力實現基於OWIN的身份驗證和授權。 以下是我計划實施的方式。

1）基於前端的具有匿名訪問權限的應用程序，用戶可以使用該應用程序進行注冊，該應用程序將在我們的數據庫中等待批准。 管理員用戶將審核用戶並批准他們提供必要的角色。 2）如果由OWIN授權服務器授權，則這些用戶可以通過傳遞憑據以獲取響應來使用我們不同的api。 3）OWIN身份驗證/授權是一項單獨的服務，因此可以被多個應用程序用於身份驗證/授權和生成令牌。

我的問題是

1）我的方向正確嗎？這種方法行得通嗎？ 2）是否有一個示例，其中這些應用程序是在單獨的解決方案中構建的？

我看到的所有樣本都使用默認模板和樣本方法。 請幫助我提供任何此類可用的示例。

Answer 1

基本上，我認為您的做法正確。 但是在用戶注冊后，我不太了解您的工作流程。 當用戶注冊並且他的數據存儲在數據庫中時，您已經應該為他提供登錄（身份驗證）的能力-向他發送帶有一些基本聲明的令牌（承載/刷新）。 同時，如果您需要限制經過身份驗證的用戶使用API​​的能力，則可以通過實現角色管理（授權）來實現這一目標。

有關將授權服務器與資源服務器解耦的信息，請參閱本指南 。 該鏈接似乎有些陳舊，但提供了工作樣本/對工作流程的理解。

另外，對於身份驗證，我建議您堅持使用Json Web令牌，因為它們提供了一種通過聲明轉移身份驗證用戶狀態的不錯方法。 請參閱此鏈接。 和本指南 。