API 端点在发送不记名令牌时返回 "Authorization has been denied for this request."

Question

我按照教程在 C# 中使用 OAuth 保护 Web API。

我正在做一些测试，到目前为止我已经能够从 /token 成功获取访问令牌。我正在使用一个名为 "Advanced REST Client" 的 Chrome 扩展来测试它。

{"access_token":"...","token_type":"bearer","expires_in":86399}

这是我从 /token 那里得到的。一切看起来都很好。

我的下一个请求是我的测试API 控制器：

namespace API.Controllers
{
    [Authorize]
    [RoutePrefix("api/Social")]
    public class SocialController : ApiController
    {
      ....


        [HttpPost]
        public IHttpActionResult Schedule(SocialPost post)
        {
            var test = HttpContext.Current.GetOwinContext().Authentication.User;

            ....
            return Ok();
        }
    }
}

请求是 POST 并且具有 header:

Authorization: Bearer XXXXXXXTOKEHEREXXXXXXX

我得到：Authorization has been denied for this request. 在 JSON 中返回。

我也尝试执行 GET，结果如我所料，该方法不受支持，因为我没有实现它。

这是我的授权提供者：

public class SimpleAuthorizationServerProvider : OAuthAuthorizationServerProvider
{
    public override async Task ValidateClientAuthentication(OAuthValidateClientAuthenticationContext context)
    {
        context.Validated();
    }

    public override async Task GrantResourceOwnerCredentials(OAuthGrantResourceOwnerCredentialsContext context)
    {

        context.OwinContext.Response.Headers.Add("Access-Control-Allow-Origin", new[] { "*" });

        using (var repo = new AuthRepository())
        {
            IdentityUser user = await repo.FindUser(context.UserName, context.Password);

            if (user == null)
            {
                context.SetError("invalid_grant", "The user name or password is incorrect.");
                return;
            }
        }

        var identity = new ClaimsIdentity(context.Options.AuthenticationType);
        identity.AddClaim(new Claim(ClaimTypes.Name, context.UserName));
        identity.AddClaim(new Claim(ClaimTypes.Role, "User"));

        context.Validated(identity); 

    }
}

任何帮助都会很棒。我不确定是请求错误还是代码错误。

编辑：这是我的 Startup.cs

public class Startup
{
    public void Configuration(IAppBuilder app)
    {
        var config = new HttpConfiguration();
        WebApiConfig.Register(config);
        app.UseWebApi(config);
        ConfigureOAuth(app);
    }

    public void ConfigureOAuth(IAppBuilder app)
    {
        var oAuthServerOptions = new OAuthAuthorizationServerOptions()
        {
            AllowInsecureHttp = true,
            TokenEndpointPath = new PathString("/token"),
            AccessTokenExpireTimeSpan = TimeSpan.FromDays(1),
            Provider = new SimpleAuthorizationServerProvider()
        };

        // Token Generation
        app.UseOAuthAuthorizationServer(oAuthServerOptions);
        app.UseOAuthBearerAuthentication(new OAuthBearerAuthenticationOptions());

    }
}

Answer 1

您必须使用此架构添加声明：

http://schemas.microsoft.com/ws/2008/06/identity/claims/role

最好的办法是使用预定义的声明集：

identity.AddClaim(new Claim(ClaimTypes.Role, "User"));

您可以在 System.Security.Claims 中找到 ClaimTypes。

您必须考虑的另一件事是 Controller/Action:

中的过滤器角色

[Authorize(Roles="User")]

您可以找到一个简单的示例应用程序，带有 jquery 客户端的自托管 owin here。

Answer 2

看起来与其他 Owin 程序集共存的“System.IdentityModel.Tokens.Jwt” 版本不正确。

如果您使用的是 "Microsoft.Owin.Security.Jwt" 2.1.0 版，您应该使用 3.0.2 版的 "System.IdentityModel.Tokens.Jwt" 程序集。

从包管理器控制台，尝试：

Update-Package System.IdentityModel.Tokens.Jwt -Version 3.0.2

Answer 3

问题很简单： 更改 OWIN 管道的顺序。

public void Configuration(IAppBuilder app)
{
    ConfigureOAuth(app);
    var config = new HttpConfiguration();
    WebApiConfig.Register(config);
    app.UseWebApi(config);
}

对于您配置的 OWIN 管道顺序非常重要。在您的情况下，您尝试在 OAuth 处理程序之前使用 Web API 处理程序。在其中，您验证您的请求，发现您的安全操作并尝试根据当前 Owin.Context.User 验证它。此时此用户不存在，因为它是从带有稍后调用的 OAuth 处理程序的令牌中设置的。

API 端点在发送不记名令牌时返回 "Authorization has been denied for this request."

API end point returning "Authorization has been denied for this request." when sending bearer token

c#

oauth

asp.net-web-api2

owin