将每个请求、基于令牌的身份验证添加到 asp.net mvc 站点

Question

我有一个使用基本表单身份验证的现有 asp.net mvc 网站。该站点有一个登录页面，该页面发回登录操作，该操作通过 FormsAuthentication.SetAuthCookie() 将用户登录。我希望将 api 添加到站点，作为 mvc2 区域，在该区域中，用户将根据作为 http 标头传递的令牌进行身份验证。该区域将仅包含 json 操作，因此将用户重定向到登录页面没有意义。相反，我希望用户只在每个请求中传递一个令牌。该令牌映射到每个用户帐户，并且将自动对用户进行身份验证。

我正在努力将这个逻辑放在哪里。此时，最好的选择似乎是将标头查找逻辑和身份验证添加到 Application_AuthenticateRequest 方法中的 Global.asax。不过，我想避免在调用 FormsAuthentication.SetAuthCookie() 后重定向用户。我希望登录操作对他们透明。

我是不是走错了路？

附带说明：由于该站点有多种用户，因此无法为 api 请求提供用户名/密码。一些人使用 OpenID 加入，而其他人则使用用户名/密码加入。

Answer 1

在 Global.asax 中为 Application_AuthenticateRequest 事件添加标头查找。代码如下所示：

private const string AuthorizationHeader = "Authorization";

if (!string.IsNullOrWhiteSpace(request.Headers[AuthorizationHeader]))
{
  try
  {
    // Remove Basic from beginning and then decode the string
    var token = request.Headers[AuthorizationHeader].Substring(6);
    token = new ASCIIEncoding().GetString(Convert.FromBase64String(token)).Split(':')[0];

    return UserService.FetchByApiToken(token);
  }
  catch
  {
  }
}

Answer 2

不要reinvent the wheel。