我的 Web Api 项目有问题。 我有文件存储在我的数据库中，并想在新窗口中直接调用它们以查看/保存（URL 像：/api/Files/5 - 5 beeing the FileId）
对于我的一般 AJAX 请求，我使用 Bearer Token 进行了所有工作，使用 AngularJS 处理普通数据，它就像一个魅力。对于该文件，我创建了一个控制器，该控制器在浏览器中显示具有相应 MIME 类型的文件。但是现在我将操作更改为 [Authorize] 我得到了一个 Access Denied 这是正确的，因为我没有在 HTTP-Header 中传递 access_token。
如果可以通过查询字符串传递令牌，我做了很多研究，但没有发现任何帮助。
现在我的计划是从我的控制器中删除 [Authorize] 属性并尝试自己验证令牌，但我不知道如何。
有人知道我怎样才能让它工作吗？
【问题讨论】：
标签： validation asp.net-web-api
我在我的应用程序（AngularJS，WebAPI 2）中实现了不记名令牌身份验证，我遇到了类似的问题 - 我需要通过单击链接来允许下载文件。当您单击链接标题时不会发送。 :( 因此，我在查询字符串中发送了令牌值以下载文件
.../mywebapp/api/files/getfile/3?access_token=jaCOTrGsaak6Sk0CpPc1...
并将“授权”标头设置为 Startup.Auth.cs 中的令牌值。代码如下：
public void ConfigureAuth(IAppBuilder app)
{
//It needs for file downloads
app.Use(async (context, next) =>
{
if (context.Request.QueryString.HasValue)
{
if (string.IsNullOrWhiteSpace(context.Request.Headers.Get("Authorization")))
{
var queryString = HttpUtility.ParseQueryString(context.Request.QueryString.Value);
string token = queryString.Get("access_token");
if (!string.IsNullOrWhiteSpace(token))
{
context.Request.Headers.Add("Authorization", new[] { string.Format("Bearer {0}", token) });
}
}
}
await next.Invoke();
});
// Enable the application to use bearer tokens to authenticate users
app.UseOAuthBearerTokens(OAuthOptions);
}
【讨论】：
对于 ASP .Net Core，我根据 Forward 的回答做了类似的事情
扩展方法
public static void UseQueryStringBearerValidation(this IApplicationBuilder app)
{
//It needs for file downloads
app.Use(async (context, next) =>
{
if (context.Request.QueryString.HasValue)
{
if (string.IsNullOrWhiteSpace(context.Request.Headers["Authorization"].ToString()))
{
var queryString = QueryHelpers.ParseQuery(context.Request.QueryString.Value);
var token = queryString["access_token"].ToString();
if (!string.IsNullOrWhiteSpace(token))
{
context.Request.Headers.Add("Authorization", new[] {$"Bearer {token}"});
}
}
}
await next();
});
}
用法
StartUp.cs -> Configure() 方法
app.UseCustomExceptionHandler();
app.UseQueryStringBearerValidation(); // <-- add before Jwt Handler
app.UseCustomJwtBearerValidation();
app.AddHttpContextProperties();
app.UseStaticFiles();
app.UseMvc(MiddlewareAppConfiguration.AddRouteMappings);
【讨论】：
虽然我不确定这是一个好主意，但您可以实现 DelegatingHandler 来实现您想要的。
public class QueryStringBearerToken : DelegatingHandler
{
protected override Task<HttpResponseMessage> SendAsync(HttpRequestMessage request, CancellationToken cancellationToken)
{
var bearerToken = request.GetQueryNameValuePairs()
.Where(kvp => kvp.Key == "bearerToken")
.Select(kvp => kvp.Value)
.FirstOrDefault();
if(!String.IsNullOrEmpty(bearerToken))
{
request.Headers.Add("Authorization", "Bearer " + bearerToken);
}
return base.SendAsync(request, cancellationToken);
}
}
此处理程序将查找名为"bearerToken" 的查询字符串，如果存在，会将其添加到请求标头中，以供后续处理程序/过滤器处理。您可能需要先检查标头是否已经存在并且在这种情况下不覆盖。您可以按照通常的方式在配置阶段添加此处理程序：
config.MessageHandlers.Insert(0, new QueryStringBearerToken ());
对/YourRoute?bearerToken=theToken的请求会传入DelegatingHandler，将查询字符串中传入的token添加到原始请求的header列表中，常规的Bearer Token认证会查找header并找到它。
【讨论】：
Insert(0, ...)) 应该在授权开始之前执行它。
= 可以是令牌的一部分，它可能会截断GetQueryNameValuePairs() 的值。您应该在放置断点时检查您在查询字符串中传递的令牌是否与bearerToken 变量相同。如果是这种情况，它将解释 401，因为不记名令牌无法识别。