ASP.NET Core 项目简单实现身份验证及鉴权
环境
VS 2017
ASP.NET Core 2.2
目标
以相对简单优雅的方式实现用户身份验证和鉴权,解决以下两个问题:
无状态的身份验证服务,使用请求头附加访问令牌,几乎适用于手机、网页、桌面应用等所有客户端
基于功能点的权限访问控制,可以将任意功能点权限集合授予用户或角色,无需硬编码角色权限,非常灵活
项目准备
创建一个ASP.NET Core Web应用程序
使用ASP.NET Core 2.2
模板选[空]
不启用HTTPS
不进行身份验证
通过NuGet安装Swashbuckle.AspNetCore
程序包,并在Startup类中启用Swagger支持
因为这个示例项目不打算编写前端网页,所以直接使用Swagger来调试,真的很方便。
添加一个空的MVC控制器(HomeController)和一个空的API控制器(AuthController)
HomeController.Index()
方法中只写一句简单的跳转代码即可:
return new RedirectResult("~/swagger");
AuthController
类中随便写一两个骨架方法,方便看效果。
运行项目,会自动打开浏览器并跳转到Swagger页面。
身份验证
定义基本类型和接口
ClaimTypes 定义一些常用的声明类型常量
IClaimsSession 表示当前会话信息的接口
ClaimsSession 会话信息实现类
根据声明类型从ClaimsPrincipal.ClaimsIdentity属性中读取用户ID、用户名等信息。实际项目中可从此类继承或完全重新实现自己的Session类,以添加更多的会话信息(例如工作部门)
IToken 登录令牌接口
包含访问令牌、刷新令牌、令牌时效等令牌IIdentity 身份证明接口
包含用户基本信息及令牌信息IAuthenticationService 验证服务接口
抽象出来的验证服务接口,仅规定了四个身份验证相关的方法,如需扩展可定义由此接口派生的接口。Login(userName, password) IIdentity 根据用户名及密码验证其身份,成功则返回身份证明 Logout() void 注销本次登录,即使未登录也不报错 RefreshToken(refreshToken) Token 刷新登录令牌,如果当前用户未登录则报错 ValidateToken(accessToken) IIdentity 验证访问令牌,成功则返回身份证明 SimpleToken 登录令牌的简化实现
这个类提不提供都可以,实际项目中大家生成Token的算法肯定是各不相同的,提供简单实现仅用于演示
编写验证处理器
BearerDefaults 定义了一些与身份验证相关的常量
如:AuthenticationScheme
BearerOptions 身份验证选项类
从
AuthenticationSchemeOptions
继承而来BearerValidatedContext 验证结果上下文
BearerHandler 身份验证处理器 <= 关键类
覆盖了
HandleAuthenticateAsync()
方法,实现自定义的身份验证逻辑,简述如下:获取访问令牌。从请求头中获取
authorization
信息,如果没有则从请求的参数中获取如果访问令牌为空,则终止验证,但不报错,直接返回
AuthenticateResult.NoResult()
调用从构造函数注入的
IAuthenticationService
实例的ValidateToken()
方法,验证访问令牌是否有效,如果该方法触发异常(例如令牌过期)则捕获后通过AuthenticateResult.Fail()
返回错误信息,如果该方法返回值为空(例如访问令牌根本不存在)则返回AuthenticateResult.NoResult()
,不报错。到这一步说明身份验证已经通过,而且拿到身份证明信息,根据该信息创建
Claim
数组,然后再创建一个包含这些Claim
数据的ClaimsPrincipal
实例,并将Thread.CurrentPrincipal设置为该实例。重点:其实,
HttpContext.User
属性的类型正是CurrentPrincipal
,而其值应该就是来自于Thread.CurrentPrincipal
。构造
BearerValidatedContext
实例,并将其Principal
属性赋值为上面创建的ClaimsPrincipal
实例,然后调用Success()
方法,表示验证成功。最后返回该实例的Result
属性值。
BearerExtensions 包含一些扩展方法,提供使用便利
重点在于
AddBearer()
方法内调用builder.AddScheme<TOptions,THandler>()
泛型方法时,分别使用了前面编写的BearerOptions
、BearerHandler
类作为泛型参数。public static AuthenticationBuilder AddBearer(...){return builder.AddScheme<BearerOptions, BearerHandler>(...);}
如果想要自己实现
BearerHandler
类的验证逻辑,可以抛弃此类,重新编写使用新Handler类的扩展方法
实现用户身份验证
说明
这部分是身份验证的落地,实际项目中应该将上面两步(定义基本类型和接口、编写验证处理器)的代码抽象出来,成为独立可复用的软件包,利用该软件包进行身份验证的实现逻辑可参照此示例代码。
实现步骤
Identity 身份证明实现类
SampleAuthenticationService 验证服务的简单实现
出于演示方便,固化了三个用户(admin/123456、user/123、tester/123)
AuthController 通过HTTP向前端提供验证服务的控制器类
提供了用户登录、令牌刷新、令牌验证等方法。
还需要修改项目中
Startup.cs
文件,添加依赖注入规则、身份验证,并启用身份验证中间件。
在ConfigureServices
方法内添加代码:services.AddScoped<IClaimsSession, ClaimsSession>();services.AddScoped<IAuthenticationService, SampleAuthenticationService>(); services.AddAuthentication(options =>{ options.DefaultAuthenticateScheme = BearerDefaults.AuthenticationScheme; options.DefaultChallengeScheme = BearerDefaults.AuthenticationScheme;}).AddBearer();
在
Configure()
方法内添加代码:app.UseAuthentication();
通过Swagger测试
测试登录功能
启动项目,自动进入[Swagger UI]界面,点击
/api/Auth/Login
方法,不修改输入框中的内容直接点击[Execute]按钮,可以见到返回401错误码。在输入框中输入
{"userName": "admin", "password": "123456"}
,然后点击[Execute]按钮,系统验证成功并返回身份证明信息。
记下访问令牌2ad43df2c11d48a18a88441adbf4994a
和刷新令牌9bbaf811ed8b4d29b638777d4f89238e
测试刷新登录令牌
点击
/api/Auth/Refresh
方法,在输入框中输入上面获取到的刷新令牌9bbaf811ed8b4d29b638777d4f89238e
,然后点击[Execute]按钮,返回401错误码。原因是因为我们并未提供访问令牌。点击方法名右侧的[锁]图标,在弹出框中输入之前获取的访问令牌
2ad43df2c11d48a18a88441adbf4994a
并点击[Authorize]按钮后关闭对话框,重新点击[Execute]按钮,成功获取到新的登录令牌。
测试验证访问令牌
点击
/api/Auth/Validate
方法,在输入框中输入第一次获取的到访问令牌2ad43df2c11d48a18a88441adbf4994a
,然后点击[Execute]按钮,返回400错误码,表明发起的请求参数有误。因为此方法是支持匿名访问的,所以错误码不会是401.将输入框内容修改为新的访问令牌
f37542e162ed4855921ddf26b05c3f25
,然后点击[Execute]按钮,验证成功,返回了对应的用户身份证明信息。
权限鉴定
在ASP.NET Core项目中实现基于角色的授权很容易,在一些权限管理并不复杂的项目中,采取这种方式来实现权限鉴定简单可行。有兴趣可以参考这篇博文ASP.NET Core 认证与授权5:初识授权
但是,对于稍微复杂一些的项目,权限划分又细又多,如果采用这种方式,要覆盖到各种各样的权限组合,需要在代码中定义相当多的角色,大大增加项目维护工作,并且很不灵活。
这里借鉴ABP框架中权限鉴定的一些思想,来实现基于功能点的权限访问控制。
非常感谢ASP.NET Core和ABP等诸多优秀的开源项目,向你们致敬!
不得不说ABP框架非常优秀,但是我并不喜欢使用它,因为我没有能力和精力搞清楚它的详细设计思路,而且很多功能我根本不需要。
思路
ASP.NET Core提供了一个IAuthorizationFilter
接口,如果在控制器类上添加[授权过滤]特性,相应的AuthorizationFilter类的OnAuthorization()
方法会在控制器的Action
之前运行,如果在该方法中设置AuthorizationFilterContext.Result为一个错误的response,Action
将不会被调用。
基于这个思路,我们设计了以下方案:
编写一个Attribute(特性)类,包含以下两个属性:
Permissions:需要检查的权限数组
RequireAllPermissions:是否需要拥有数组中全部权限,如果为否则拥有任一权限即可
定义一个
IPermissionChecker
接口,在接口中定义IsGrantedAsync()
方法,用于执行权限鉴定逻辑编写一个AuthorizationFilterAttribute特性类(应用目标为class),通过属性注入
IPermissionChecker
实例。然后在OnAuthorization()
方法内调用IPermissionChecker
实例的IsGrantedAsync()
方法,如果该方法返回值为false,则返回403错误,否则正常放行。
编写过滤器类及相关接口
ApiAuthorizeAttribute类
[AttributeUsage(AttributeTargets.Method)]public class ApiAuthorizeAttribute : Attribute, IFilterMetadata {public string[] Permissions { get; } public bool RequireAllPermissions { get; set; } public ApiAuthorizeAttribute(params string[] permissions){ Permissions = permissions; } }
IPermissionChecker接口定义
public interface IPermissionChecker {Task<bool> IsGrantedAsync(string permissionName); }
AuthorizationFilterAttribute类
[AttributeUsage(AttributeTargets.Class)]public class AuthorizationFilterAttribute : Attribute, IAuthorizationFilter{ [Injection] public IPermissionChecker PermissionChecker { get; set; } = NullPermissionChecker.Instance; public void OnAuthorization(AuthorizationFilterContext context) {if(存在[AllowAnonymous]特性) return;var authorizeAttribute = 从context.Filters中析出ApiAuthorizeAttribute foreach (var permission in authorizeAttribute.Permissions) { var granted = PermissionChecker.IsGrantedAsync(permission).Result; }if(检查未通过) context.Result = new ObjectResult("未授权") { StatusCode = 403 }; } }
配合属性注入提供NullPermissionChecker类,在
IsGrantedAsync()
方法内直接返回true。
实现属性注入
做好上面的准备,我们应该可以开始着手在项目内应用权限鉴定功能了,不过ASP.NET Core内置的DI框架并不支持属性注入,所以还得添加属性注入的功能。
定义InjectionAttribute类,用于显式声明应用了此特性的属性将使用依赖注入
[AttributeUsage(AttributeTargets.Property)]public class InjectionAttribute : Attribute { }
添加一个
PropertiesAutowiredFilterProvider
类,从DefaultFilterProvider
类派生public class PropertiesAutowiredFilterProvider : DefaultFilterProvider{private static IDictionary<string, IEnumerable<PropertyInfo>> _publicPropertyCache = new Dictionary<string, IEnumerable<PropertyInfo>>(); public override void ProvideFilter(FilterProviderContext context, FilterItem filterItem){base.ProvideFilter(context, filterItem); var filterType = filterItem.Filter.GetType();if (!_publicPropertyCache.ContainsKey(filterType.FullName)) {var ps=filterType.GetProperties(BindingFlags.Public|BindingFlags.Instance) .Where(c => c.GetCustomAttribute<InjectionAttribute>() != null); _publicPropertyCache[filterType.FullName] = ps; } var injectionProperties = _publicPropertyCache[filterType.FullName];if (injectionProperties?.Count() == 0)return; var serviceProvider = context.ActionContext.HttpContext.RequestServices;foreach (var item in injectionProperties) {var service = serviceProvider.GetService(item.PropertyType);if (service == null) {throw new InvalidOperationException($"Unable to resolve service for type '{item.PropertyType.FullName}' while attempting to activate '{filterType.FullName}'"); } item.SetValue(filterItem.Filter, service); } }}
还有非常关键的一步,在
Startup.ConfigureServices()
中添加下面的代码,替换IFilterProvider
接口的实现类为上面编写的PropertiesAutowiredFilterProvider
类services.Replace(ServiceDescriptor.Singleton<Microsoft.AspNetCore.Mvc.Filters.IFilterProvider, PropertiesAutowiredFilterProvider>());
实现用户权限鉴定
终于,我们可以在项目内应用权限鉴定功能了。
编码
首先,我们定义一些功能点权限常量
public static class PermissionNames{public const string TestAdd = "Test.Add";public const string TestEdit = "Test.Edit";public const string TestDelete = "Test.Delete";}
接着,添加一个新的用于测试的控制器类
[AuthorizationFilter] [Route("api/[controller]")] [ApiController]public class TestController : ControllerBase { [Injection]public IClaimsSession Session { get; set; } [HttpGet] [Route("[action]")]public IActionResult CurrentUser() => Ok(Session?.UserName); [ApiAuthorize] [HttpGet("{id}")]public IActionResult Get(int id)=> Ok(id); [ApiAuthorize(PermissionNames.TestAdd)] [HttpPost] [Route("[action]")]public IActionResult Create()=> Ok(); [ApiAuthorize(PermissionNames.TestEdit, RequireAllPermissions = false)] [HttpPost] [Route("[action]")]public IActionResult Update()=> Ok(); [ApiAuthorize(PermissionNames.TestAdd, PermissionNames.TestEdit, RequireAllPermissions = false)] [HttpPost] [Route("[action]")]public IActionResult Patch() => Ok(); [ApiAuthorize(PermissionNames.TestDelete)] [HttpDelete("{id}")]public IActionResult Delete(int id) => Ok(); }
在控制器类上添加了[AuthorizationFilter]特性,除了
CurrentUser()
方法以外,都添加了[ApiAuthorize]特性,所需的权限各不相同,为简化测试所有的Action
都直接返回OkResult
。实现一个用于演示的权限检查器类
public class SamplePermissionChecker : IPermissionChecker{private readonly Dictionary<long, string[]> userPermissions = new Dictionary<long, string[]> { { 1, new[] { PermissionNames.TestAdd, PermissionNames.TestEdit, PermissionNames.TestDelete } }, { 2, new[] { PermissionNames.TestEdit, PermissionNames.TestDelete } } }; public IClaimsSession Session { get; } public SamplePermissionChecker(IClaimsSession session){this.Session = session; } public Task<bool> IsGrantedAsync(string permissionName){if(!userPermissions.Any(p => p.Key == Session.UserId))return Task.FromResult(false);var up = userPermissions.Where(p => p.Key == Session.UserId).First();var granted = up.Value.Any(permission => permission.Equals(permissionName, StringComparison.InvariantCultureIgnoreCase));return Task.FromResult(granted); } }
最后还需要修改项目中
Startup.cs
文件,添加依赖注入规则services.AddSingleton<IPermissionChecker, SamplePermissionChecker>();
因为SamplePermissionChecker类中并没有需要进程间隔离的数据,所以使用单例模式注册就可以了。不过这样一来,因为该类通过构造函数注入了
IClaimsSession
接口实例,在构建Checker类实例时将触发异常。考虑到CliamsSession
类中只有方法没有数据 ,改为单例也并无妨,于是将该接口也改为单例模式注册。
通过Swagger测试
测试未登录时仅可访问
/api/Test/CurrentUser
测试以用户user登录,可以访问
/api/Test/CurrentUser
和GET请求/api/Test/{id}
测试以用户admin登录,可以访问除
/api/Test/Add
以外的接口
测试
编写了命令行程序,用来测试前面实现的Web API服务。
测试不同用户同时访问时Session是否正确
测试方法
同时运行三个测试程序,都选择[测试身份验证],然后分别输入不同的用户身份序号,快速切换三个程序并按下回车键,三个测试程序会各自发起100次请求,每次请求间隔100毫秒。
例如同时打开三个命令行终端执行:dotnet .\CustomAuthorization.test.dll
测试结果
三个测试程序从后台服务所获取到的当前用户信息完成匹配。
测试以不同用户身份访问需要权限的接口
测试方法
预设的权限为:admin=>全部权限,user=>除
Test.Add
以外权限,tester=>无。分别以admin、user、tester三个用户身份请求
/api/test
下的所有接口,并模拟令牌过期的场景。测试结果
可以见到,以过期的令牌发起请求时,后台返回的状态为Unauthorized,当用户未获得足够的授权时后台返回的状态为Forbidden。
测试通过!
最后
源代码托管在gitee.com :https://gitee.com/xant77/CustomAuthorization.WebApi
原文地址:https://www.cnblogs.com/wiseant/p/10515842.html
.NET社区新闻,深度好文,欢迎访问公众号文章汇总 http://www.csharpkit.com
ASP.NET Core 项目简单实现身份验证及鉴权相关推荐
- asp.net core中使用cookie身份验证
背景 ASP.NET Core Identity 是一个完整的全功能身份验证提供程序,用于创建和维护登录名. 但是, cookie 不能使用基于的身份验证提供程序 ASP.NET Core Ident ...
- ASP.NET Core 项目配置 ( Startup ) - ASP.NET Core 基础教程 - 简单教程,简单编程
ASP.NET Core 项目配置 ( Startup ) - ASP.NET Core 基础教程 - 简单教程,简单编程 原文:ASP.NET Core 项目配置 ( Startup ) - ASP ...
- 送福利 | 送书5本《ASP.NET Core项目开发实战入门》带你走进ASP.NET Core开发
<ASP.NET Core项目开发实战入门>从基础到实际项目开发部署带你走进ASP.NET Core开发. ASP.NET Core项目开发实战入门是基于ASP.NET Core 3.1 ...
- ASP.NET Core 中简单Session登录校验
ASP.NET Core 中简单Session登录校验:从Session的配置添加.到请求过滤.再到页面操作.推荐相关阅读:ASP.NET 会话状态概述 ASP.NET Cookie 概述 ASP ...
- 在Asp.net core 项目中操作Mysql数据库
工程环境 : win10+asp.net core 2.1 + vs2017 步骤: 1 在vs中新建asp.net core 项目 2 在Nuget中为项目添加第三方包microsoft.visu ...
- [转]【无私分享:ASP.NET CORE 项目实战(第十四章)】图形验证码的实现
本文转自:http://www.cnblogs.com/yuangang/p/6000460.html 目录索引 [无私分享:ASP.NET CORE 项目实战]目录索引 简介 很长时间没有来更新博客 ...
- 在 ASP.NET Core 项目中使用 AutoMapper 进行实体映射
一.前言 在实际项目开发过程中,我们使用到的各种 ORM 组件都可以很便捷的将我们获取到的数据绑定到对应的 List<T> 集合中,因为我们最终想要在页面上展示的数据与数据库实体类之间可能 ...
- 升级ASP.Net Core项目
升级完类库项目,第二篇,我们来升级ASP.Net Core项目 修改global.json与project.json 这里可以参照,升级.Net Core RC2的那些事(一) 这里补充一点就是如果你 ...
- ASP.NET CORE系列【一】搭建ASP.NET CORE项目
原文:ASP.NET CORE系列[一]搭建ASP.NET CORE项目 为什么要使用 ASP.NET Core? NET Core 刚发布的时候根据介绍就有点心里痒痒,微软的尿性都懂的,新东西bug ...
最新文章
- HTML基础部分(2)表格
- 如何写出一个confirm组件
- (填坑:SQL打印两次)mybatisplus+p6spy 日志打印
- 【bzoj3866】The Romantic Hero dp
- js函数中的参数的个数
- 0也显示曲线 mpchart_BenQ 明基专业摄影显示器SW270C开箱评测体验
- 【转载】Meta http-equiv属性详解
- axios 请求的配置选项
- C# 站点IP访问频率限制 针对单个站点
- php+mysql投票代码_PHP+jQuery+MySql实现红蓝投票功能
- Windows环境下JDK安装与环境变量配置详细的图文教程
- bert 是单标签还是多标签 的分类_标签感知的文档表示用于多标签文本分类(EMNLP 2019)...
- android通过代码设置铃声_让你的手机铃声与众不同 (附ios音乐dj)
- Himall商城LinqHelper帮助类(1)
- 无线城域网-无线广域网
- Squid代理服务器
- 计算机大赛总结发言稿,学校技能比赛总结发言稿
- 分布式项目Maven打包出现Could not resolve dependencies for project、Could not find artifact问题解决
- ubuntu安装photoshop
- 解决 linux下编译运行.sh文件报错 “[: XXXX: unexpected operator” 问题