ASP.NET 5中的身份验证（vNext）

Question

我有一个传统的ASP.NET应用程序，我想把它移到ASP.NET5(vNext)。我这样做是为了学习。

Answer 1

microsoft.aspnet.authentication.oauth

• 允许第三方标识符（例如，Google、Facebook)为您验证用户身份，省去了用户注册的麻烦。
• 允许其他应用程序使用您的应用程序进行身份验证

一旦用户通过第三方的身份验证，OWIN中间件读取他们的OAuth cookie并创建一个特定于域的基于声明的cookie。只要cookie可用（存在、未过期和未损坏），用户就保持身份验证。

ASP.NET 5通用OAuth提供程序简介

Microsoft.aspnet.Authentication.OAuthBearer

创建承载令牌。当用户登录到endpoint（Web-API）或通过第三方的身份验证时，OWIN中间件返回一个承载令牌。承载令牌与所有服务请求一起发送，以代替cookie标识用户。

启动中

app.UseOAuthBearerAuthentication(options =>
{
    options.Authority = "http://localhost:5000/oauth/";
    options.Audience = "http://localhost:5000/oauth/resources";

    options.TokenValidationParameters = new TokenValidationParameters
    {
        IssuerSigningKeys = new[] { new X509SecurityKey(cert) },
        ValidateLifetime = false,
    };
    options.AutomaticAuthentication = true;

    options.SecurityTokenValidators = new[]
    {
        new JwtSecurityTokenHandler()
    };
});

在创建SPA（单页应用程序）或保护AJAX请求时使用承载令牌。

Cookie身份验证被认为适合服务器请求。但是服务endpoint（无论它们是否允许跨源资源共享）更容易受到CSRF和XSS攻击。

您需要区分使用cookie的资源和使用令牌的资源。

在这个Stackoverflow答案中，Matt DeKrey很好地概述了他的实现

[授权（“持票人”）]

如果您正在为数百万用户服务，或者保护重要的财务数据，那么您的异步调用应该依赖于承载令牌。

注意：您提到了使用表单身份验证，我强烈建议使用标识。该框架与OWIN集成为您提供了这两种类型的功能。