场景

我有一个 ASP.NET Web API，它使用 OAuth 密码流来提供 Bearer Tokens 以获取对其资源的访问权限。

我现在正在制作一个需要使用此 API 的 MVC 应用程序。

计划是让 MVC Controller 代表客户端浏览器调用 API。

来自浏览器的 ajax 请求将命中 MVC Controller ，然后进行 API 调用。然后将结果作为 JSON 反馈给客户端，并在 java 脚本中进行处理。

客户端不应该直接与 API 通信。

获得身份验证。

一旦通过成功调用 Web API token 端点在 MVC 应用程序中接收到 Bearer Token，我需要找到处理 Bearer Token 的最佳方法。

我需要在对 api 的任何后续调用中使用此不记名 token 。

我的计划是将它存储在 System.Web.HttpContext.Current.Session["BearerToken"]

然后我可以创建一个自定义 AuthorizationAttribute，它将检查当前 HttpContext 中是否存在 BearerToken，如果不存在，客户端将需要重新访问 token 端点。

这看起来可行吗？

我正在征求人们对此的意见，因为我不相信这是我项目的最佳解决方案。

最佳答案

我已经想出了一些我认为会很好用的东西。

我正在使用 Owin 中间件进行 Cookie 身份验证。

在 MVC 应用程序中，我有一个 Owin 启动文件，其中配置了 Cookie 身份验证:-

 public class Startup
    {
        public void Configuration(IAppBuilder app)
        {
            // For more information on how to configure your application, visit http://go.microsoft.com/fwlink/?LinkID=316888

            app.UseCookieAuthentication(new CookieAuthenticationOptions()
            {
                AuthenticationType = "ApplicationCookie",
                LoginPath = new PathString("/Account/Login"),

            });
        }
    }

然后我创建了一个 AccountController，其中包含两个用于登录和注销的 Action 方法:-

登录。

public ActionResult Login(LoginModel model,string returnUrl)
        {
            var getTokenUrl = string.Format(ApiEndPoints.AuthorisationTokenEndpoint.Post.Token, ConfigurationManager.AppSettings["ApiBaseUri"]);

            using (HttpClient httpClient = new HttpClient())
            {
                HttpContent content = new FormUrlEncodedContent(new[]
                {
                    new KeyValuePair<string, string>("grant_type", "password"), 
                    new KeyValuePair<string, string>("username", model.EmailAddress), 
                    new KeyValuePair<string, string>("password", model.Password)
                });

                HttpResponseMessage result = httpClient.PostAsync(getTokenUrl, content).Result;

                string resultContent = result.Content.ReadAsStringAsync().Result;

                var token = JsonConvert.DeserializeObject<Token>(resultContent);

                AuthenticationProperties options = new AuthenticationProperties();

                options.AllowRefresh = true;
                options.IsPersistent = true;
                options.ExpiresUtc = DateTime.UtcNow.AddSeconds(int.Parse(token.expires_in));

                var claims = new[]
                {
                    new Claim(ClaimTypes.Name, model.EmailAddress),
                    new Claim("AcessToken", string.Format("Bearer {0}", token.access_token)),
                };

                var identity = new ClaimsIdentity(claims, "ApplicationCookie");

                Request.GetOwinContext().Authentication.SignIn(options, identity);

            }

            return RedirectToAction("Index", "Home");
        }

注销

  public ActionResult LogOut()
            {
                Request.GetOwinContext().Authentication.SignOut("ApplicationCookie");

                return RedirectToAction("Login");
            }

保护资源

    [Authorize]
    public class HomeController : Controller
    {

        private readonly IUserSession _userSession;

        public HomeController(IUserSession userSession)
        {
            _userSession = userSession;
        }

        // GET: Home
        public ActionResult Index()
        {

            ViewBag.EmailAddress = _userSession.Username;
            ViewBag.AccessToken = _userSession.BearerToken;

            return View();
        }
    }


 public interface IUserSession
    {
        string Username { get; }
        string BearerToken { get; }
    }

public class UserSession : IUserSession
    {

        public string Username
        {
            get { return ((ClaimsPrincipal)HttpContext.Current.User).FindFirst(ClaimTypes.Name).Value; }
        }

        public string BearerToken
        {
            get { return ((ClaimsPrincipal)HttpContext.Current.User).FindFirst("AcessToken").Value; }
        }

    }

关于c# - 从 Web API 在 MVC 中存储 Bearer Token 的位置，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/39465983/