允许“半匿名”身份验证

Question

我有一种情况，我需要一些控制器方法才能被经过身份验证的用户访问，或者如果请求在 url 中包含某种“访问令牌”。

例如：

经过身份验证的用户可以调用： https://example.com/some/resource

或者未经身份验证的用户可以进行相同的调用，但将某种令牌添加到 url（或作为标头）： https://example.com/some/resource?token=123abc

令牌不必是超级机密，只有难以猜测的东西。

[AllowSpecialToken]
[HttpGet]
[Route("some/resource")]
public async Task<string> GetSomeResource()
{
    return "some resource";
}

我正在苦苦挣扎的是如何编写AllowSpecialTokenAttribute。以及如何在我们现在进行的身份验证（使用OpenIddict）之前运行它。

这是一个愚蠢的用例吗？我应该找到其他解决方案吗？

提供一些上下文：我们有一个调用我们的 API 的 SPA。 SPA 的某些页面可以通过发送链接与其他人（非用户）共享。该链接将包含令牌。这些页面的内容在安全方面并不重要，但它们不应该完全打开。

Answer 1

您需要创建自己的身份验证属性。我过去做过类似的事情，这是我的存根：

public class TokenAuthenticationAttribute : AuthorizeAttribute
{
    public override void OnAuthorization(AuthorizationContext filterContext)
    {
        // this will read `token` parameter from your URL
        ValueProviderResult valueProvided = filterContext.Controller.ValueProvider.GetValue("token");
        if (valueProvided == null)
        {
            filterContext.Result = new System.Web.Mvc.HttpStatusCodeResult((int)System.Net.HttpStatusCode.Forbidden);
            return;
        }

        var providedToken = valueProvided.AttemptedValue;

        var storedToken = "12345"; // <-- get your token value from DB or something

        if (storedToken != providedToken)
        {
            filterContext.Result = new System.Web.Mvc.HttpStatusCodeResult((int)System.Net.HttpStatusCode.Forbidden);
            return;
        }
    }
}

然后用属性装饰你的动作：

[TokenAuthentication]
[HttpGet]
[Route("some/resource")]
public async Task<string> GetSomeResource()
{
    return "some resource";
}    

让你的 URI 看起来像 https:\\www.example.com\api\some\resource?token=12345

Answer 2

您可以尝试以下方法，看看它是否适合您。 警告：我完全不知道这是否是“正确”的做法。我只知道这是一种似乎有效的方式。如果您发现问题，请测试并投票。在我编写的另一个身份验证处理程序上，我仍然有一个打开的question，但没有回复，因此请谨慎使用。如果您打算研究此用例，可能值得联系 MS 的吹镖（搜索用户）。

中间件类

public class TokenCodeAuthHandler : AuthenticationHandler<AuthenticationSchemeOptions>
{
    public const string DefaultSchemeName = "TokenAuthScheme";

    public TokenCodeAuthHandler(
        IOptionsMonitor<AuthenticationSchemeOptions> options, 
        ILoggerFactory logger, 
        UrlEncoder encoder, 
        ISystemClock clock)
        : base(options, logger, encoder, clock)
    {
    }

    protected override async Task<AuthenticateResult> HandleAuthenticateAsync()
    {
        AuthenticateResult result = await this.Context.AuthenticateAsync();
        if (result.Succeeded)
        {
            //User has supplied details
            return AuthenticateResult.Success(result.Ticket);
        }
        else if (Context.Request.Query["token"] == "123abc")   //TODO: Change hard-coded token
        {
            //User has supplied token
            string username = "Test";    //Get/set username here
            var claims = new[]
                {
                    new Claim(ClaimTypes.NameIdentifier, username, ClaimValueTypes.String, Options.ClaimsIssuer),
                    new Claim(ClaimTypes.Name, username, ClaimValueTypes.String, Options.ClaimsIssuer)
                };

            ClaimsPrincipal principal = new ClaimsPrincipal(new ClaimsIdentity(claims, Scheme.Name));
            AuthenticationTicket ticket = new AuthenticationTicket(principal, Scheme.Name);
            return AuthenticateResult.Success(ticket);
        }
        return AuthenticateResult.Fail("Unauthorized");
    }
}

在启动中配置服务

services.AddAuthentication()
    .AddScheme<AuthenticationSchemeOptions, TokenCodeAuthHandler>(
        TokenCodeAuthHandler.DefaultSchemeName, 
        (o) => { });

属性使用

在控制器动作上使用如下： 注意 - 我似乎无法覆盖控制器级别的授权属性）。

[Authorize(AuthenticationSchemes = TokenCodeAuthHandler.DefaultSchemeName)]
[HttpGet]
[Route("some/resource")]
public async Task<string> GetSomeResource()
{
    return "some resource";
}