是否可以在同一个应用程序中使用 Thinktecture 的 IdentityModel 和 System.IdentityModel SessionAuthenticationModule cookie？

Question

我有一个网络应用程序，其中包含浏览器提供的 JavaScript 应用程序和 Android 手机应用程序使用的服务。

javascript 应用程序使用 System.IdentityModel.SessionAuthenticationModule cookie 进行身份验证，移动应用程序在 Authentication 标头中使用 JWT 令牌。

我可以将应用程序配置为使用 System.IdentityModel.SessionAuthenticationModule 和 cookie 工作，或者 thinktecture AuthorizationHandler 和令牌工作，但我不知道如何让它们同时工作？

这个答案Thinktecture IdentityModel AuthenticationConfiguration Mapping for Cookie - how? 表明这是不可能的，但它似乎使用的是自定义 cookie 而不是FederatedAuthentication.SessionAuthenticationModule.WriteSessionTokenToCookie(token);

Answer 1

只要 web.config 中没有授权元素妨碍，这应该可以工作。或者 IOW 改用 AuthorizeAttribute。

但是对于基于 cookie 的 Web API 身份验证来说，这是一个普遍的问题，因为现在您正在向 CSRF 攻击敞开大门。您真正应该做的是分离 UI 和 API，并将两个客户端视为“外部”，并使用基于令牌的身份验证。但这当然是一个巨大的架构变化（尽管方向正确）。