跨 Web 角色和客户端应用程序共享 ASP.NET 简单成员身份验证答案

【问题标题】：Sharing ASP.NET simplemembership authentication across web roles and client applications跨 Web 角色和客户端应用程序共享 ASP.NET 简单成员身份验证
【发布时间】：2013-09-01 02:46:36
【问题描述】：

我一直在尝试解决这个问题，阅读了很多博客、MSDN 文档、示例代码和其他 stackoverflow 问题，但还没有解决这个问题。

这是我的场景：

我正在使用 Windows Azure 来托管两个 Web 角色。一个是我的 MVC4 Web API，另一个是我的 MVC4 Web 应用程序，它使用了 Web API。我还有许多使用 .NET 的客户端应用程序，它们将访问 Web API。

所以我的主要组件是：

网络 API
网络应用
.NET 客户端

我想使用“托管”在 Web 应用程序中的表单身份验证。我正在使用内置的 simplemembership 身份验证机制，效果很好。我可以在 Web App 中创建和登录帐户。

现在我还想使用这些相同的帐户来验证 Web API，无论是来自 Web 应用程序还是任何 .NET 客户端应用程序。

我已经阅读了很多方法来做到这一点，最简单的似乎是在 Web API 上使用基本身份验证。目前我正在使用此代码，因为它似乎可以解决我的确切问题：Mixing Forms Authentication, Basic Authentication, and SimpleMembership

我无法让它工作。我成功登录到我的 Web 应用程序 (127.0.0.1:81)，当我尝试调用需要身份验证的 Web API 时（例如 127.0.0.1:8081/api/values），调用失败并显示 401 (未经授权）响应。在单步执行代码时，WebSecurity.IsAuthenticated 返回 false。 WebSecurity.Initialized 返回 true。

我已经实现了这段代码，并尝试使用以下代码从我的 Web 应用（登录后）调用我的 Web API：

using ( var handler = new HttpClientHandler() )
{
    var cookie = FormsAuthentication.GetAuthCookie( User.Identity.Name, false );
    handler.CookieContainer.Add( new Cookie( cookie.Name, cookie.Value, cookie.Path, cookie.Domain ) );

    using ( var client = new HttpClient() )
    {
        //client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue(
        //  "Basic",
        //  Convert.ToBase64String( System.Text.ASCIIEncoding.ASCII.GetBytes(
        //  string.Format( "{0}:{1}", User.Identity.Name, "123456" ) ) ) );
        client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue(
            "Cookie",
            Convert.ToBase64String( System.Text.ASCIIEncoding.ASCII.GetBytes( User.Identity.Name ) ) );

        string response = await client.GetStringAsync( "http://127.0.0.1:8080/api/values" );

        ViewBag.Values = response;
    }
}

如您所见，我已尝试使用 cookie 以及用户名/密码。显然我想使用 cookie，但在这一点上，如果有任何效果，那将是一个很好的步骤！

我的 Web API 中的 ValuesController 已正确修饰：

// GET api/values
[BasicAuthorize]
public IEnumerable<string> Get()
{
    return new string[] { "value1", "value2" };
}

在我的 Web API 的 Global.asax.cs 中，我正在初始化 SimpleMembership：

// initialize our SimpleMembership connection
try
{
    WebSecurity.InitializeDatabaseConnection( "AzureConnection", "User", "Id", "Email", autoCreateTables: false );
}
catch ( Exception ex )
{
    throw new InvalidOperationException( "The ASP.NET Simple Membership database could not be initialized. For more information, please see http://go.microsoft.com/fwlink/?LinkId=256588", ex );
}

这成功了，WebSecurity 后来说它已初始化，所以我猜这部分工作正常。

根据MSDN 的要求，我的配置文件具有匹配的身份验证设置。

这里是 API 配置：

<authentication mode="Forms">
<forms protection="All" path="/" domain="127.0.0.1" enableCrossAppRedirects="true" timeout="2880" />
</authentication>
<machineKey decryption="AES" decryptionKey="***" validation="SHA1" validationKey="***" />

这是网络应用配置：

<authentication mode="Forms">
<forms loginUrl="~/Account/Login" protection="All" path="/" domain="127.0.0.1" enableCrossAppRedirects="true" timeout="2880" />
</authentication>
<machineKey decryption="AES" decryptionKey="***" validation="SHA1" validationKey="***" />

注意，我在本地尝试这个（因此是 127.0.0.1 域），但引用托管在 Azure 上的数据库。

我不必从 .NET 客户端应用程序中尝试任何这些，因为我什至无法让它在 Web 角色之间工作。对于客户端应用程序，理想情况下我会进行网络调用，传入用户名/密码，检索 cookie，然后将 cookie 用于进一步的 Web API 请求。

我想得到我正在工作的东西，因为它看起来很简单并且符合我的要求。

我还没有尝试过其他解决方案，例如 Thinktecture，因为它的功能比我需要的多得多，而且似乎没有必要。

我错过了什么？

【问题讨论】：

我已经多次阅读这个问题，但我仍然不确定问题是什么，或者故障发生在哪里。当您尝试使用服务器端代码从您的 Web 应用程序调用 Web API 时，它会失败吗？究竟是什么失败？您是否收到任何错误或意外行为？
对于初学者，我不建议从服务器端代码调用 Web API。这是不必要的网络流量。看看这个建议的架构 [stackoverflow.com/questions/14887871/…，它将让您直接访问您的应用程序域。您仍然可以使用自定义 ClaimsAuthorizationManager 在没有 Web API 调用的情况下处理授权。
很抱歉没有把我的具体错误放在那里。我花了很多时间试图把所有的细节都写进去，却错过了最重要的一个。从服务器端代码调用时，确实无法使用 Web API 进行授权。
@KevinJunghans 我很欣赏关于不必要的网络流量和链接的评论。这可能对这样的事情有意义。现在虽然我想让它工作，因为我还需要从 .NET 客户端应用程序进行身份验证和调用这个 Web API。我一开始是在我的网络应用程序中进行测试，因为它看起来很方便。
由于您是从服务器端代码进行 Web API 调用，因此您必须在 http 请求中包含 cookie。使用基本身份验证将不起作用，因为您不知道用户的密码。您正在使用的自定义 Authorize 属性执行身份验证和授权。这对于仅对应用程序域进行方法调用来说是很多开销。同样，我建议您直接调用您的应用程序域（而不是通过 Web API）并使用自定义 ClaimsAuthorizationManager 仅执行授权。用户已通过身份验证。

标签： asp.net-mvc-4 authentication azure simplemembership

【解决方案1】：

嗯，这很尴尬。我的主要问题是一个简单的代码错误。这是正确的代码。告诉我你可以发现我问题中的代码的不同之处。

using ( var handler = new HttpClientHandler() )
{
    var cookie = FormsAuthentication.GetAuthCookie( User.Identity.Name, false );
    handler.CookieContainer.Add( new Cookie( cookie.Name, cookie.Value, cookie.Path, cookie.Domain ) );

    using ( var client = new HttpClient( handler ) )
...
}

修复后，我开始收到403 Forbidden 错误。所以我跟踪了这一点，并对BasicAuthorizeAttribute 类进行了小改动，以便在未指定角色时正确支持[BasicAuthorize] 属性。

这里是修改后的代码：

private bool isAuthorized( string username )
{
    // if there are no roles, we're good!
    if ( this.Roles == "" )
        return true;

    bool authorized = false;

    var roles = (SimpleRoleProvider)System.Web.Security.Roles.Provider;
    authorized = roles.IsUserInRole( username, this.Roles );
    return authorized;
}

通过传入表单 cookie 来更改基本身份验证！

现在让非 Web 客户端应用正常工作，然后按照建议重构 Web 应用。

我希望这对将来的某人有所帮助！

【讨论】：