REST API令牌身份验证

Question

我刚刚开始在.NET中开发我的第一个REST API。由于它将是无状态的，我将使用令牌进行身份验证：

基本思想（System.Security.Cryptography）：

null

• 检查凭据是否有效（用户名，将哈希密码与db值进行比较）
• 如果为真，则加密数据对象
• 对生成的令牌使用HMAC，并将其存储到数据库
• 将令牌（不带HMAC）返回给用户（cookie/字符串）

对需要身份验证的方法的请求：

• 用户随每个请求发送令牌
• 令牌已解密
• 如果过期，错误
• 如果未过期，则使用HMAC并将用户名+生成的哈希值与db值进行比较
• 如果db检查有效，则用户已通过身份验证

在我看来，这种方法有以下优点：

• 即使db被压缩，它也不包含实际的令牌（哈希无法反转...)
• 即使攻击者拥有令牌，也不能通过更新字段来增加过期时间，因为过期日期在令牌本身

首先，我想知道这是否是一个好的方法。

更新：

好的，现在我做了一些更多的研究，得出了这样的解决方案：

• 令牌将包含最初指定的数据（用户名、发布日期和超时）
• 令牌由encrypt-then-mac生成（它包括AES加密数据、IV矢量+这2个用于身份验证的值的标记，由HMACSHA265生成）
• 令牌标记将写入DB
• 用户将在以下情况下进行身份验证：
  • 标记有效（令牌身份验证）
  • 可以解密数据
  • 令牌尚未过期
  • 标记与数据库中写入的标记匹配
  • 用户在数据库中未被阻止（请求时令牌无效）
  null

Answer 1

这是问题下的评论线程的后续。

您似乎对OAuth到底是什么有点困惑，所以希望我能在这里澄清一下。

OAuth不是web服务或您使用的东西。它是一种协议，描述站点根据服务对用户进行身份验证的方式，而不允许站点知道用户的凭据是什么。作为一个附带的好处，大多数OAuth提供者还有一个web服务来查询用户的信息，并且可以同时授予这样做的权限。

例如，假设您有一个web服务，允许第三方站点为用户提供Acme品牌的小部件。您的第一个第三方实现者是流行的MyBook.org。流程看起来如下所示：

>

有人邀请用户在他们的MyBook配置文件中使用“Acme Widgets”应用程序。

用户单击该按钮，该按钮将重定向到acmewidgets.com。URL看起来如下所示：

http://acmewidgets.com/oauth/user?r=http%3a%2f%2fmybook.org%2foAuth%2fclient&appid=12345

服务器端的MyBook现在接受该令牌，并将一个web服务调用返回到AcmeWidgets：

http://acmewidgets.com/oauth/validate?token=abcdefg&appid=12345&appsecret=67890

MyBook使用该令牌后，现在可以调用AcmeWidgets API：

http://acmewidgets.com/api/provision?appid=12345&token=abc123&type=etc

这就是众所周知的OAuth舞蹈。注意，这里有许多实现定义的东西，如URL、对各种令牌进行编码的方法、令牌是否可以过期或被撤销等。

希望这能为你澄清一切！