Web API 中不提供 Ws-Federation 身份信息？

Question

我正在使用 Ws-Fed 身份验证 OWIN 中间件来使用 ADFS 对带有 Web API 端点的 ASP.NET MVC 应用程序进行身份验证。我可以使用 ADFS 成功登录，并且在我的 MVC 控制器上，HttpContext.User.Identity.IsAuthenticated 为真 - 我也可以看到已登录用户的声明信息。

但是，对于 WebAPI 端点，User.Identity.IsAuthenticated 为 false。已签名用户的声明信息也不可用。有什么方法可以公开用户已针对 MVC 和 WebAPI 控制器进行身份验证的事实？

这是我在 OWIN 启动类中配置身份验证中间件的方式：

app.SetDefaultSignInAsAuthenticationType(CookieAuthenticationDefaults.AuthenticationType);

        app.UseCookieAuthentication(new CookieAuthenticationOptions
        {
            AuthenticationType = CookieAuthenticationDefaults.AuthenticationType,
            ExpireTimeSpan = TimeSpan.FromMinutes(sessionDuration), 
            SlidingExpiration = true //expiration extended after each request
        });

        app.UseWsFederationAuthentication(
            new WsFederationAuthenticationOptions
            {
                Wtrealm = realm,
                MetadataAddress = metadata,
                Notifications = new WsFederationAuthenticationNotifications
                {
                    AuthenticationFailed = context =>
                    {
                        context.HandleResponse();
                        context.Response.Redirect("/?loginfailed=loginfailed");
                        return Task.FromResult(0);
                    }
                }
            });

Answer 1

尝试向 ADFS 添加“名称 ID”声明：

http://darb.io/blog/2014/06/30/WebAPI-and-ADFS-as-external-login-provider/

Answer 2

所以我通过检查CodePlex 上的 OWIN cookie 身份验证中间件源代码找到了这个问题的答案。由 MVC 控制器使用中间件创建的 cookie 的创建方式与创建 Web API 的 cookie 不同。 MVC cookie 是对存储在 session 中的用户信息的引用，由于 Web API 是完全无状态的（无 session），因此在 MVC 中创建的 cookie 不能在 Web API 中使用。

此外，无论如何在 Web API 中使用 cookie 身份验证都是不好的做法；不记名令牌身份验证是一个更好的选择。

在我需要使用 Ws-Federation 身份验证的情况下，解决方案是：

1. 将不记名令牌身份验证中间件添加到我的应用程序

1234563生成的不记名令牌

2. 在 MVC 中进行身份验证后，序列化声明，并使用之前创建的端点将它们编组到 Web API

3. 将不记名令牌添加到 SPA 中的隐藏字段

非常感谢 @Juan 为我提供反馈和链接，为我指明正确的方向。