你的位置:首页 > ASP.net教程

[ASP.net教程]OAuth在WebApi中的使用,前后台分离的调用方式

前段时间由于公司架构服务层向WebApi转换,就研究了OAuth在WebApi中的使用,这中间遇到了很多坑,在此记录一下OAuth的正确使用方式。

1、  OAuth是做什么的?

  在网上浏览时,大家都见过这样的功能:网站A提供了第三方登录服务,比如使用新浪微博、QQ账户登录。用户使用第三方账户登陆后,第三方返回Token给网站A,当网站A调用第三方服务请求登录用户信息时需传递该Token给第三方,第三方才允许该服务请求。之后的每次请求无需再次认证,直接使用该Token即可。这就是OAuth的典型应用。

2、  简单使用介绍 (具体使用OAuth的方法请参考:在ASP.NET中基于Owin OAuth使用Client Credentials Grant授权发放Token)

  2.1、用户登录的过程即是获取Token的过程,前端用户登录示例代码如下:

 1 $.ajax({ 2       type: "POST", 3       url: api_address + "token", //api_address为WebApi服务地址,由于OAuth的使用中设置了属性TokenEndpointPath = new PathString("/token"),所以请求到“token”链接时即可自动进入认证流程。 4       data: { grant_type: "password", username: username, password: password, ran: Math.random() },//传递用户名、密码、认证方式 5       dataType: "json", 6       success: function (result) { 7         if (result.access_token && result.access_token.length > 0) { 8            //result.access_token即是有效的服务调用凭证,可以把该值存入到Cookie中,以备下次使用。 9 callback(1, "登录成功。");10         }11         else {12           callback(0, "未知错误!");13         }14       },15       error: function (16         callback(0, 17       }18     });

登录代码

  2.2、当认证方式为password时,已下方法为认证流程中的一步。(认证通过才会返回Token)

 1 public override Task GrantResourceOwnerCredentials(OAuthGrantResourceOwnerCredentialsContext context) 2 { 3   var username= context.UserName; 4   var password=context.Password; 5   if(用户名与密码不合法) 6   { 7   context.setError(“用户名或密码错误!”);//认证不通过 8   } 9   else10   {11   var oAuthIdentity = new ClaimsIdentity(context.Options.AuthenticationType);12   oAuthIdentity.AddClaim(new Claim(ClaimTypes.Name, context.UserName));13   //可以加入用户信息及其他必要信息到Token中,以便在api服务中使用(使用中HttpContext.Current.User.Identity即为oAuthIdentity对象,WebApi的Controller中可直接使用User.Identity)。14   oAuthIdentity.AddClaim(new Claim("UserID", user.UserID.ToString()));15   var ticket = new AuthenticationTicket(oAuthIdentity, new AuthenticationProperties());16    context.Validated(ticket);//认证通过17   } 18   return base.GrantResourceOwnerCredentials(context);19 }  

认证代码

3、 已经获取了Token,如何使用?

  网上的大部分示例都是使用HttpClient调用的方式,而前后端的完全分离作为一种发展趋势,我们需要Jquery的调用方式。

 1 $.ajax({ 2       type: “method”,//get,post,put,delete 3       url:api_address + “api/Test”,//如果调用webapi中的TestController 4       data: {data}, 5       dataType: "json", 6       headers: { 7         "Authorization": "Bearer " + “token” //把登录获取的Token加入到http请求头中 8       }, 9       success: function (result) {10         callback(result);11       },12       error: function (13         //。。。。。。14       }15 });

调用Api

4、Api的访问权限该如何做?

  认证中我们把用户登录成功作为认证通过的标志,但不同角色的用户具有不同的访问权限(个人认为认证中应使用最小权限验证,如示例中的登录成功),如何控制有些Controller不能被低权限用户访问。

1 [Authorize]2 public class TestController: ApiController3 {4   // GET api/<controller>5   public HttpResponseMessage Get(int appid)6   {7     return null;8   }9 }

一个典型的ApiController

  [Authorize]表示访问该Controller的请求必须经过认证(请求头中具有Token信息),这里我们可以自定义一个特性去验证用户权限,并替换特性AuthorizeAttribute。(这里仅提供思路,具体做法请自己摸索,不保证以下代码的正确性)

 1 public class CustomeAuthorizeAttribute:System.Web.Http.AuthorizeAttribute 2 { 3     protected override bool IsAuthorized(System.Web.Http.Controllers.HttpActionContext actionContext) 4   { 5     if(base.IsAuthorized(actionContext)) 6     { 7       //这里对用户的权限进行验证,actionContext可以获得请求的是哪一个Controller 8       var user = HttpContext.Current.User.Identity;//Token中带有的用户信息 9       if (可以访问)10       {11         return true;12       }13       return false;14       }15      return false;16     }17 }18         

示例自定义特性(拦截器)