使用 AntiForgery 令牌模拟 Windows 用户

Question

我有两个 Web API；一种是公开的，一种是内部的。我希望公共的与内部的沟通。但是，我想要内部一层的两层安全性：

• Windows 身份验证（已完成）
• AntiForgery 令牌（这是我遇到的问题）

现在我正在公共 API 中生成 AntiForgery 令牌：

string cookieToken, formToken;
AntiForgery.GetTokens(null, out cookieToken, out formToken);
return cookieToken + ":" + formToken;

然后，我在内部 API 的过滤器中将其删除：

var request = actionContext.Request;
if (!request.RequestUri.PathAndQuery.StartsWith("/api"))
{
    return Task.FromResult(new HttpResponseMessage(HttpStatusCode.OK));
}

string cookieToken = "";
string formToken = "";

IEnumerable<string> tokenHeaders;
if (request.Headers.TryGetValues("RequestVerificationToken", out tokenHeaders))
{
    string[] tokens = tokenHeaders.First().Split(':');
    if (tokens.Length == 2)
    {
        cookieToken = tokens[0].Trim();
        formToken = tokens[1].Trim();
    }
}

try
{
    AntiForgery.Validate(cookieToken, formToken);
}
catch (HttpAntiForgeryException ex)
{
    return Task.FromResult(new HttpResponseMessage(HttpStatusCode.Unauthorized));
}

return Task.FromResult(new HttpResponseMessage(HttpStatusCode.OK));

这行得通，有点。我得到的错误是这样的：

提供的防伪令牌用于用户“”，但当前用户是“WINDOWS8VM\Michael”。

在生成令牌时我需要以某种方式模拟 Windows 用户，以便用户的相同。

另一个问题是CredentialCache.DefaultNetworkCredentials 是空的。这几乎可以肯定是因为公共 API 没有打开 Windows 身份验证。但是，应用程序池有一个身份，这就是我要寻找的身份。

Answer 1

由于您只想验证您的内部 api 是否由受信任的调用者（即公共 api）调用 - 您不需要使用防伪令牌。相反，您可以使用 AF 令牌在公共 api 上加密\签名您自己的数据的相同机制，然后解密和验证这些数据是您在内部 api 上所期望的。为此，您可以使用 MachineKey.Protect 和 MachineKey.Unprotect 方法。

如果您这样做，请注意用于加密的密钥可能因应用程序而异。查看machineKey元素的描述，注意IsolateApps设置的效果。如果您的机器密钥配置为 IsolateApps - 一个 IIS 应用程序将无法解密受另一个保护的数据（与 AF 令牌相同），即使它们都位于同一台机器上。

另外请注意，如果应用程序在这方面没有被隔离，同一台机器上的任何 IIS 应用程序都将能够使用相同的密钥加密数据并调用您的内部 api。但是，如果您只想保护您的 api 免受网络中其他机器的影响 - 那应该足够了。

如果您不确定要加密哪些数据 - 合并来自请求本身的所有敏感数据，对其进行散列并保护该散列。然后在内部 api 合并相同的数据，对其进行哈希处理，取消保护从调用方接收到的数据，并确保未保护的数据与目标哈希匹配。