ASP的自定义承载令牌授权。网芯

Question

这是自定义承载令牌授权机制的可接受实现吗？

授权属性

public class AuthorizeAttribute : TypeFilterAttribute
{
    public AuthorizeAttribute(): base(typeof(AuthorizeActionFilter)){}
}

public class AuthorizeActionFilter : IAsyncActionFilter
{
    private readonly IValidateBearerToken _authToken;
    public AuthorizeActionFilter(IValidateBearerToken authToken)
    {
        _authToken = authToken;
    }

    public async Task OnActionExecutionAsync(ActionExecutingContext context, ActionExecutionDelegate next)
    {
        const string AUTHKEY = "authorization";
        var headers = context.HttpContext.Request.Headers;
        if (headers.ContainsKey(AUTHKEY))
        {
            bool isAuthorized = _authToken.Validate(headers[AUTHKEY]);
            if (!isAuthorized)
                context.Result = new UnauthorizedResult();
            else
                await next();
        }
        else
            context.Result = new UnauthorizedResult();
    }
}

验证服务。APISettings类用于appSettings，但验证可以扩展为使用数据库。。。显然：）

public class APISettings
{
    public string Key { get; set; }
}

public class ValidateBearerToken : IValidateBearerToken
{
    private readonly APISettings _bearer;

    public ValidateBearerToken(IOptions<APISettings> bearer)
    {
        _bearer = bearer.Value;
    }

    public bool Validate(string bearer)
    {
        return (bearer.Equals($"Bearer {_bearer.Key}"));
    }
}

实施

[Produces("application/json")]
[Route("api/my")]
[Authorize]
public class MyController : Controller

应用设置

"APISettings": {
"Key": "372F78BC6B66F3CEAF705FE57A91F369A5BE956692A4DA7DE16CAD71113CF046"

}

请求头

Authorization: Bearer 372F78BC6B66F3CEAF705FE57A91F369A5BE956692A4DA7DE16CAD71113CF046

Answer 1

这是可行的，但这有点像是重新发明轮子。

我认为现在最好的方法是使用JWTs，你可以在这里找到更多关于它的信息：http://www.jwt.io/

它的一些优点是与asp很好地集成。net内核，您还可以向令牌添加一些信息（用户名、角色等）。这样，你甚至不需要访问数据库进行验证（如果你想的话）。

此外，在应用程序设置文件中存储密钥可能会意外地将它们添加到源代码管理器（安全性）中。您可以将用户机密用于本地开发（或者在环境=dev时禁用密钥）和环境变量用于生产。

下面是一个很好的例子，说明如何将jwt与asp.net一起使用：https://jonhilton.net/2017/10/11/secure-your-asp.net-core-2.0-api-part-1-issuing-a-jwt/