OAuth用户身份验证与服务器身份验证和访问层相结合

Question

我正在使用预装的Visual Studio解决方案开发我的首批OAuth解决方案之一。

不过，同时我也希望我的服务器应用程序拥有“完全访问权限”。他们需要能够获得列表增加多个用户，删除东西等等。

下面是我的问题，我认为这些问题可以很容易地一起回答：

1. 如何管理两个短期令牌（承载令牌？）连同永久令牌（API令牌？）
2. 我在访问级别上有何不同，因此某些方法需要永久令牌？
3. 在同一方法中，我在访问级别上有何不同（即，典型的GET方法，在该方法中，用户只应获得“His Items”，而管理令牌可以获得“All”）

Answer 1

它可能看起来很简单，但它涉及到很多概念，将从你的问题中证明其中的一些：

1.如何管理两个短期代币（不记名代币？）连同永久令牌（API令牌？）

通常，web-api项目可以用作身份验证机制的承载令牌，但它不支持您所要求的高级授权场景，因此，为了满足这些需要，您需要使用身份模型的自定义和基于角色的授权实现

您需要创建一个RoleManager类，并且需要将其添加到OWIN上下文中，现在可以在authorize中修改属性以查看角色，如下所示[authorize(roles=“admin”）]

3.我在访问级别上有什么不同，所以有些方法需要永久令牌？

您需要基于角色创建一个自定义逻辑，以便该用户是否为管理，并且可以基于此为具有管理访问权限的人员创建永久令牌。我希望我的第二点解释也能回答这个问题

4.在相同的方法中，我在访问级别上有何不同（例如，典型的GET方法，用户只应该获得“His Items”，而管理令牌可以获得“All”）

根据角色，您可以获得所有用户或单个用户的列表，这里是一个伪代码，供您理解

    if (userManager.IsInRole(user.Id, "Admin")) {

     // this roles is authorized to get the All records

    }
else{

  // Send a single record ...
 }