使用 Owin 在 Asp.Net Web Api 中同时使用 OAuth 和 Basic Auth

Question

我已经在基于 on these blog posts

的 Web Api 项目中实现了 OAuth 身份验证

它运行良好，包括刷新令牌逻辑。

我想添加一个用于基本身份验证的选项，以及用于计划作业的几个调用。

我已经尝试添加基本身份验证解决方案作为中间件，但我仍然收到 401 请求 Bearer 令牌。

我可以通过从那些 api 调用中删除 [Authorize] 属性并在代码中手动检查用户是否已通过身份验证来使它工作，但似乎解决它的方法是错误的。

有没有办法使用 OWin 同时支持 Basic Auth 和 OAuth 身份验证？

Answer 1

如何将您的操作或控制器归因于您想要使用属性 [OverrideAuthentication] 实现基本身份验证然后创建自定义身份验证过滤器属性，该属性继承自 Attribute, IAuthenticationFilter，如下面的代码

public class BasicAuthenticationAttribute : Attribute, IAuthenticationFilter
{
    public Task AuthenticateAsync(HttpAuthenticationContext context, CancellationToken cancellationToken)
    {
        var req = context.Request;
        // Get credential from the Authorization header 
        //(if present) and authenticate
        if (req.Headers.Authorization != null && "basic".Equals(req.Headers.Authorization.Scheme, StringComparison.OrdinalIgnoreCase))
        {
            var rawCreds = req.Headers.Authorization.Parameter;

            var credArray = GetCredentials(rawCreds);

            var clientId = credArray[0];
            var secret = credArray[1];

            if (ValidCredentials(clientId, secret))
            {
                var claims = new List<Claim>()
                      {
                        new Claim(ClaimTypes.Name, clientId)
                      };

                var identity = new ClaimsIdentity(claims, "Basic");
                var principal = new ClaimsPrincipal(new[] { identity });
                // The request message contains valid credential
                context.Principal = principal;
            }
            else
            {
                context.ErrorResult = new UnauthorizedResult(new AuthenticationHeaderValue[0], context.Request);
            }

        }
        else
        {
            context.ErrorResult = new UnauthorizedResult(new AuthenticationHeaderValue[0], context.Request);
        }

        return Task.FromResult(0);
    }

    private string[] GetCredentials(string rawCred)
    {

        var encoding = Encoding.GetEncoding("UTF-8");

        var cred = encoding.GetString(Convert.FromBase64String(rawCred));

        var credArray = cred.Split(':');

        if (credArray.Length == 2)
        {
            return credArray;
        }
        else
        {
            return credArray = ":".Split(':');
        }

    }

    private bool ValidCredentials(string clientId, string secret)
    {

        //compare the values from web.config

        if (clientId == secret)
        {
            return true;
        }
        return false;
    }

    public Task ChallengeAsync(HttpAuthenticationChallengeContext context,CancellationToken cancellationToken)
    {
        context.Result = new ResultWithChallenge(context.Result);
        return Task.FromResult(0);
    }

    public class ResultWithChallenge : IHttpActionResult
    {
        private readonly IHttpActionResult next;
        public ResultWithChallenge(IHttpActionResult next)
        {
            this.next = next;
        }
        public async Task<HttpResponseMessage> ExecuteAsync( CancellationToken cancellationToken)
        {
            var response = await next.ExecuteAsync(cancellationToken);
            if (response.StatusCode == HttpStatusCode.Unauthorized)
            {
                response.Headers.WwwAuthenticate.Add(new AuthenticationHeaderValue("Basic"));
            }
            return response;
        }
    }

    public bool AllowMultiple
    {
        get { return false; }
    }
}

现在您可以使用它来为您的控制器或操作赋予属性，如下代码所示：

 [OverrideAuthentication]
    [BasicAuthentication]
    [Route("")]
    public async Task<IHttpActionResult> Get()
{
}

请注意我们是如何创建声明身份并将身份验证方案设置为基本的，您可以在此处放置您想要的任何声明。

使用 Owin 在 Asp.Net Web Api 中同时使用 OAuth 和 Basic Auth

Using both OAuth and Basic Auth in Asp.Net Web Api with Owin

asp.net-web-api

oauth

owin