使用多个授权方案（HMAC 和 OATH）

Question

好的，我有一个WebAPI Auth服务，用于/token请求并将不记名令牌返回给客户端，我已经将AppId和API密钥添加到属性中，因此我返回

{
"access_token": "...",
"token_type": "bearer",
"expires_in": 86399,
"dm:appid": "1",
"dm:apikey": "...",
".issued": "Wed, 01 Jul 2015 20:46:45 GMT",
".expires": "Thu, 02 Jul 2015 20:46:45 GMT"
}

客户端应使用AppId和Api Key为每个请求生成Hmac SHA256签名。

在我的控制器上，我使用了Authorize属性并创建了一个HmacAuthentication属性来实现IAuthentiationFilter

[RoutePrefix("api/account")]
[Authorize]
[HmacAuthentication]
public class AccountController : ApiController
{
    // rest of controller here
}

我遇到的问题是，对该控制器的任何请求都将预期授权：承载…头，而HmacAuthentication属性也预期Authorization:amx头。

现在我知道你只能有一个授权标头，所以我的困惑是我如何在不破坏HTTP的情况下实现两个授权标头，有没有人同时使用OWIN OAuth和HMAC身份验证

我从Taiseer Joudeh学习了这些例子

使用ASP的基于令牌的身份验证。NET Web API 2、Owin和身份安全ASP。NET Web API使用API密钥身份验证–HMAC身份验证

Answer 1

这是一个很长时间没有答案，因为我已经解决了我原来的问题，我想我应该在这里张贴解决方案，以便其他人可以利用它。

最后，解决方案是添加自定义标题，如他们在评论中建议的@Glaucus。对于标准OAuth授权，我添加了Authorize头属性。为了满足我对HMAC的需求，我只需在标题中添加一个＜code＞X-Authorize＜/code＞属性，并修改代码以使用此标题。

现在，我可以拥有一个由 OAuth 令牌保护的 WebAPI 服务，并通过对请求实现 HMAC 授权来保护