使用 ASP.NET Web API 2 和 Owin 的基于令牌的身份验证引发 401 未经授权答案

【问题标题】：Token Based Authentication using ASP.NET Web API 2 and Owin throws 401 unauthorized使用 ASP.NET Web API 2 和 Owin 的基于令牌的身份验证引发 401 未经授权
【发布时间】：2017-03-19 07:36:45
【问题描述】：

我已经使用来自Taiseer Joudeh 的指南创建了 OAuth 身份验证。我创建了一个端点 /token 来进行身份验证。它有效，我收到这样的结果。

{
  "access_token": "dhBvPjsHUoIs6k8NDsXfROpTq63qlww_7Bifl0LOzIxhZnngld0QCU-x4q4Qa7xWhhIQeQbbK6gYu_hLIYfUbsFMsdXwqlOqAYabJHNNsnJPMMHNADb-KCQznPQy7-waaqKMCVH1HPqx4L30sXlX0L8MbjtrtkX9-jxHaWdPapqYA9lU4Ai2-Z5-zXxoriFDL-SvxrUnBTDQMnRxOH_oEyclUngzW-is543TtJ0bysQ",
  "token_type": "bearer",
  "expires_in": 86399
}

但是，如果我在下一次调用具有 AuthorizeAttribute 的 enpoint 的标头中使用访问令牌，我总是会收到未经授权的错误。此外，如果我查看当前线程的 CurrentPrincipal 中的内容，它始终是 GenericPrincipal。

我的 Startup 课程如下所示（与指南中的类似）

public class Startup
    {
        public void Configuration(IAppBuilder app)
        {

            HttpConfiguration config = new HttpConfiguration();
            IContainer container = AutoFacConfig.Register(config, app);

            ConfigureOAuth(app, container);

            WebApiConfig.Register(config);
            AutoMapperConfig.Register();

            app.UseWebApi(config);
        }
        public void ConfigureOAuth(IAppBuilder app, IContainer container)
        {
            OAuthAuthorizationServerOptions OAuthServerOptions = new OAuthAuthorizationServerOptions()
            {
                AllowInsecureHttp = true,
                TokenEndpointPath = new PathString("/token"),
                AccessTokenExpireTimeSpan = TimeSpan.FromDays(1),
                Provider = container.Resolve<IOAuthAuthorizationServerProvider>()                
            };

            // Token Generation
            app.UseOAuthAuthorizationServer(OAuthServerOptions);
            app.UseOAuthBearerAuthentication(new OAuthBearerAuthenticationOptions());

        }

    }

OauthServiceprovider 是这样的：

public class SimpleAuthorizationServerProvider : OAuthAuthorizationServerProvider
    {
        private readonly IUserBl userBl;


        public SimpleAuthorizationServerProvider(IUserBl userBl)
        {
            this.userBl = userBl;
        }

        public override async Task ValidateClientAuthentication(OAuthValidateClientAuthenticationContext context)
        {
            context.Validated();
        }

        public override async Task GrantResourceOwnerCredentials(OAuthGrantResourceOwnerCredentialsContext context)
        {

            context.OwinContext.Response.Headers.Add("Access-Control-Allow-Origin", new[] { "*" });

            UserDto user = Mapper.Map<UserDto>(userBl.Login(context.UserName, context.Password));

            if (user == null)
            {
                context.SetError("invalid_grant", "The user name or password is incorrect.");
                return;
            }

            var identity = new ClaimsIdentity(context.Options.AuthenticationType);
            identity.AddClaim(new Claim("sub", context.UserName));
            identity.AddClaim(new Claim("role", "user"));

            context.Validated(identity);

        }
    }

唯一的区别是我使用的是 owin 版本 3，而不是指南中的 2。是否有一些破坏性更改破坏了我的代码？

编辑 1：

我正在使用 Autofac 来解析接口 IOAuthAuthorizationServerProvider：

builder.RegisterType<SimpleAuthorizationServerProvider>()
                .As<IOAuthAuthorizationServerProvider>()
                .PropertiesAutowired() 
                .SingleInstance();

【问题讨论】：

标签： .net asp.net-web-api oauth owin autofac

【解决方案1】：

FOA，您似乎没有在 ConfigureOAuth() 方法中使用 SimpleAuthorizationServerProvider 类。

所以，请将代码更改为：

OAuthAuthorizationServerOptions OAuthServerOptions = new OAuthAuthorizationServerOptions() {

            AllowInsecureHttp = true,
            TokenEndpointPath = new PathString("/token"),
            AccessTokenExpireTimeSpan = TimeSpan.FromDays(1),
            Provider = new SimpleAuthorizationServerProvider(),
        };

然后请评论发生了什么。

【讨论】：

我使用Autofac来解析IOAuthAuthorizationServerProvider接口并创建一个SimpleAuthorizationServerProvider实例。
@cpiock 我在 repo 中使用相同的 OWIN 版本，您可以尝试禁用 AutoFac 并尝试在没有任何 DI 的情况下运行应用程序，然后如果它很好，您需要排除故障AutoFac。
@TaiseerJoudeh 嗯。删除所有 Autofac 的东西很痛苦。但是用户创建ecc。看起来像工作。如果在调用令牌端点后调用端点，SimpleAuthorizationServerProvider 中的某些方法不应该命中吗？
@TaiseerJoudeh 现在我添加了一个自定义自动化属性，我看到 actionContext.RequestContext.Principal 始终为空。在上下文中，我看到带有不记名令牌的标题到达帖子中。你认为这一直是 autofac 的问题吗？

【解决方案2】：

这个答案解决了我的问题 https://stackoverflow.com/a/36769653/5441093

更改 GrantResourceOwnerCredentials 方法以解析我的 userbl 类：

var autofacLifetimeScope = OwinContextExtensions.GetAutofacLifetimeScope(context.OwinContext);
var userBl = autofacLifetimeScope.Resolve<IUserBl>();

而不是使用autofac的注入感谢@taiseer joudeh 提供查看 Autofac 的提示

【讨论】：