具有自定義JWT身份驗證的OAuth

Question

我正在努力用OAuth和JWT實現自定義身份驗證流程。 基本上它應該如下：

用戶點擊登錄
用戶重定向到第三方OAuth登錄頁面
用戶登錄頁面
我得到access_token並請求用戶信息
我獲取用戶信息並創建自己的JWT令牌來回發送

我一直在關注如何構建OAuth身份驗證的這個很棒的教程，唯一不同的部分是Jerrie正在使用Cookies 。

到目前為止我做了什么：

配置AuthenticationService

services.AddAuthentication(options => 
{
    options.DefaultChallengeScheme = "3rdPartyOAuth";
    options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
    options.DefaultSignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;
})
.AddCookie() // Added only because of the DefaultSignInScheme
.AddJwtBearer(options =>
{
    options.TokenValidationParameters = // Ommited for brevity
})
.AddOAuth("3rdPartyOAuth", options =>
{
    options.ClientId = securityConfig.ClientId;
    options.ClientSecret = securityConfig.ClientSecret;
    options.CallbackPath = new PathString("/auth/oauthCallback");

    options.AuthorizationEndpoint = securityConfig.AuthorizationEndpoint;
    options.TokenEndpoint = securityConfig.TokenEndpoint;
    options.UserInformationEndpoint = securityConfig.UserInfoEndpoint;

    // Only this for testing for now
    options.ClaimActions.MapJsonKey("sub", "sub");

    options.Events = new OAuthEvents
    {
        OnCreatingTicket = async context =>
        {
            // Request for user information
            var request = new HttpRequestMessage(HttpMethod.Get, context.Options.UserInformationEndpoint);
            request.Headers.Accept.Add(new MediaTypeWithQualityHeaderValue("application/json"));
            request.Headers.Authorization = new AuthenticationHeaderValue("Bearer", context.AccessToken);

            var response = await context.Backchannel.SendAsync(request, HttpCompletionOption.ResponseHeadersRead, context.HttpContext.RequestAborted);
            response.EnsureSuccessStatusCode();

            var user = JObject.Parse(await response.Content.ReadAsStringAsync());

            context.RunClaimActions(user);
        }
    };
});

Auth控制器

    [AllowAnonymous]
    [HttpGet("login")]
    public IActionResult LoginIam(string returnUrl = "/auth/loginCallback")
    {
        return Challenge(new AuthenticationProperties() {RedirectUri = returnUrl});
    }

    [AllowAnonymous]
    [DisableRequestSizeLimit]
    [HttpGet("loginCallback")]
    public IActionResult IamCallback()
    {
        // Here is where I expect to get the user info, create my JWT and send it back to the client
        return Ok();
    }

免責聲明：此OAuth流程現已納入。 我有一個創建和使用我自己的JWT工作和一切的流程。 我不會在這里發帖，因為我的問題就在此之前。

我想要的是

在Jerrie的帖子中，您可以看到他設置了DefaultAuthenticateScheme = CookieAuthenticationDefaults.AuthenticationScheme; 。 有了它，當達到/auth/loginCallback時，我在HttpContext有用戶聲明。 問題是我的DefaultAuthenticateScheme設置為JwtBearersDefault當loginCallback叫我不能看到用戶無處索賠的Request 。 在這種情況下，如何在回調中訪問OnCreatingTicketEvent上獲得的信息？

獎金問題：我對OAuth了解不多（現在確定很清楚）。 您可能已經注意到我的options.CallbackPath與login端點上的Challenge中傳遞的RedirectUri不同。 我希望第三部分OAuth提供程序可以調用option.CallbackPath ，但這不會發生（顯然）。 我必須將CallbackPath設置為我在OAuth提供程序配置中設置的相同值（如使用GitHub的Jerries教程）才能工作。 是對的嗎？ Callback只用於匹配配置嗎？ 我甚至可以評論端點CallbackPath指向它並繼續以相同的方式工作......

謝謝！

Answer 1

改變[AllowAnonymous]

至[Authorize]

在'loginCallback'端點（ AuthController.IamCallback方法）

Answer 2

驗證

正如Jerrie在帖子中所說的那樣，對auth中間件有一個很好的解釋： https ： //digitalmccullough.com/posts/aspnetcore-auth-system-demystified.html

您可以在“ 身份驗證和授權流 ”部分中查看流程圖

第二步是身份驗證中間件調用默認處理程序的身份驗證 。

由於您的默認身份驗證處理程序是Jwt，因此在oauth流之后上下文不會被用戶數據限制，因為它使用CookieAuthenticationDefaults.AuthenticationScheme

嘗試：

[AllowAnonymous]
[DisableRequestSizeLimit]
[HttpGet("loginCallback")]
public IActionResult IamCallback()
{
    //
    // Read external identity from the temporary cookie
    //
    var result = await HttpContext.AuthenticateAsync(CookieAuthenticationDefaults.AuthenticationScheme);

    if (result?.Succeeded != true)
    {
        throw new Exception("Nein");
    }

    var oauthUser = result.Principal;

    ...

    return Ok();
}

偉大的方案摘要： ASP.NET Core 2 AuthenticationSchemes

您可以使用https://docs.microsoft.com/en-us/dotnet/api/microsoft.aspnetcore.authentication.authenticationhttpcontextextensions.signinasync?view=aspnetcore-2.2來保留您的用戶

獎金