草庐IT

c# - 如何开始使用 OAuth 来保护 Web API 应用程序？

coder 2024-05-20 原文

我有一个 Web API 应用程序，我知道 OAuth 将是 API 的标准安全模型，其中身份验证服务器将负责生成授权 token ，以便用户可以发送到我们的服务器并使用服务。

我对此很陌生，但我了解所涉及的角色:

  • 资源所有者
  • 客户
  • 资源服务器
  • 授权服务器

但实际上 OAuth 到底是什么，而不是理论上？它是 .NET 库吗？它是由单独的公司提供的服务吗？我可以在我的本地开发机器上配置它并查看它是如何工作的吗？

如何开始使用 OAuth 来保护 Web API 应用程序？

最佳答案

OAuth 是一种协议(protocol)；当前版本是 OAuth 2.0 .关于您的问题，该链接列出了各种技术中协议(protocol)的几种实现。对于与 .NET Web API 一起使用，您可能对 DotNetOpenAuth 感兴趣它提供了 OAuth 1 和 OAuth 2 的实现。

我在我正在开发的应用程序中使用 DotNetOpenAuth 来保护 .NET Web API。我有一个扩展了 DelegatingHandler 的 OAuth2Handler它在传入请求到达任何 Controller 之前被插入到 Web API 管道中。 OAuth2Handler 执行以下操作:

  1. 实例化一个 DotNetOpenAuth ResourceServer
  2. 调用 ResourceServer.GetPrincipal() 读取和解密访问 token (由 AuthorizationServer 在别处颁发并返回一个 OAuthPrincipal(在我的例子中，我正在阅读 DotNetOpenAuth 实现允许您传递的附加数据并创建一个 ClaimsPrincipal。)
  3. 将包含从访问 token 中读取的用户信息的 IPrincipal 分配给线程的 User 属性和当前 HTTP 上下文，以便它可以从 ApiController.User 获得服务 Controller 中的属性:httpContext.User = Thread.CurrentPrincipal = principal;

老实说，让这一切正常工作(例如设置授权服务器、资源服务器、证书等)并非易事。不幸的是，DotNetOpenAuth 站点上似乎没有很好的指南。如果您选择这条路线，您还需要完成以下一些其他任务:

  • 实现 IAuthorizationServer - 这是由 DotNetOpenAuth 允许您插入库并使用 他们的实现来颁发 OAuth2 访问 token 。您还需要实现 INonceStore 和 ICryptoKeyStore，我使用 EntityFramework 上下文进行存储。
  • 配置证书 - AuthorizationServer 和 ResourceServer 都使用证书来加密/解密访问 token ，确保它们只能相互访问。我建了一些 custom configuration所以我可以在授权服务器应用和 Web API 服务(资源服务器)的 web.config 文件中管理此配置。
  • 管理刷新 token - 首次从授权服务器请求访问 token 时，您将获得(取决于您的配置)OAuth2 刷新 token 和访问 token 。这些服务使用应该是短暂的访问 token 。刷新 token 用于获取更多访问 token 。刷新 token 应该保密(无论这在您的场景中意味着什么)。对我而言，这意味着刷新 token 永远不会在我的网络应用程序中暴露给客户端 javascript。

我希望这有助于让您对如何开始使用 OAuth 和 .NET Web API 有一个更高层次的了解。这是 a blog post演示其中的一些步骤。 This SO answer给出了图片客户端的更多高级细节。

(DotNetOpenAuth 在线文档似乎现在已关闭...抱歉没有指向它们的链接；显然它有 happened before)。

关于c# - 如何开始使用 OAuth 来保护 Web API 应用程序？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/17658519/

c#OAuthcodenoreferrertokensecurityasp.net-web-api

有关c# - 如何开始使用 OAuth 来保护 Web API 应用程序？的更多相关文章

  1. ruby - 如何使用 Nokogiri 的 xpath 和 at_xpath 方法 - 2

    我正在学习如何使用Nokogiri，根据这段代码我遇到了一些问题:require'rubygems'require'mechanize'post_agent=WWW::Mechanize.newpost_page=post_agent.get('http://www.vbulletin.org/forum/showthread.php?t=230708')puts"\nabsolutepathwithtbodygivesnil"putspost_page.parser.xpath('/html/body/div/div/div/div/div/table/tbody/tr/td/div

  2. ruby - 如何从 ruby​​ 中的字符串运行任意对象方法？ - 2

    总的来说，我对ruby​​还比较陌生，我正在为我正在创建的对象编写一些rspec测试用例。许多测试用例都非常基础，我只是想确保正确填充和返回值。我想知道是否有办法使用循环结构来执行此操作。不必为我要测试的每个方法都设置一个assertEquals。例如:describeitem,"TestingtheItem"doit"willhaveanullvaluetostart"doitem=Item.new#HereIcoulddotheitem.name.shouldbe_nil#thenIcoulddoitem.category.shouldbe_nilendend但我想要一些方法来使用

  3. ruby - 使用 RubyZip 生成 ZIP 文件时设置压缩级别 - 2

    我有一个Ruby程序，它使用rubyzip压缩XML文件的目录树。gem。我的问题是文件开始变得很重，我想提高压缩级别，因为压缩时间不是问题。我在rubyzipdocumentation中找不到一种为创建的ZIP文件指定压缩级别的方法。有人知道如何更改此设置吗？是否有另一个允许指定压缩级别的Ruby库？ 最佳答案 这是我通过查看ruby​​zip内部创建的代码。level=Zlib::BEST_COMPRESSIONZip::ZipOutputStream.open(zip_file)do|zip|Dir.glob("**/*")d

  4. ruby - 为什么我可以在 Ruby 中使用 Object#send 访问私有(private)/ protected 方法？ - 2

    类classAprivatedeffooputs:fooendpublicdefbarputs:barendprivatedefzimputs:zimendprotecteddefdibputs:dibendendA的实例a=A.new测试a.foorescueputs:faila.barrescueputs:faila.zimrescueputs:faila.dibrescueputs:faila.gazrescueputs:fail测试输出failbarfailfailfail.发送测试[:foo,:bar,:zim,:dib,:gaz].each{|m|a.send(m)resc

  5. ruby-on-rails - 使用 Ruby on Rails 进行自动化测试 - 最佳实践 - 2

    很好奇，就使用ruby​​onrails自动化单元测试而言，你们正在做什么？您是否创建了一个脚本来在cron中运行rake作业并将结果邮寄给您？git中的预提交Hook？只是手动调用？我完全理解测试，但想知道在错误发生之前捕获错误的最佳实践是什么。让我们理所当然地认为测试本身是完美无缺的，并且可以正常工作。下一步是什么以确保他们在正确的时间将可能有害的结果传达给您？ 最佳答案 不确定您到底想听什么，但是有几个级别的自动代码库控制:在处理某项功能时，您可以使用类似autotest的内容获得关于哪些有效，哪些无效的即时反馈。要确保您的提

  6. ruby - 在 Ruby 中使用匿名模块 - 2

    假设我做了一个模块如下:m=Module.newdoclassCendend三个问题:除了对m的引用之外，还有什么方法可以访问C和m中的其他内容？我可以在创建匿名模块后为其命名吗(就像我输入“module...”一样)？如何在使用完匿名模块后将其删除，使其定义的常量不再存在？ 最佳答案 三个答案:是的，使用ObjectSpace.此代码使c引用你的类(class)C不引用m:c=nilObjectSpace.each_object{|obj|c=objif(Class===objandobj.name=~/::C$/)}当然这取决于

  7. ruby - 使用 ruby​​ 和 savon 的 SOAP 服务 - 2

    我正在尝试使用ruby​​和Savon来使用网络服务。测试服务为http://www.webservicex.net/WS/WSDetails.aspx?WSID=9&CATID=2require'rubygems'require'savon'client=Savon::Client.new"http://www.webservicex.net/stockquote.asmx?WSDL"client.get_quotedo|soap|soap.body={:symbol=>"AAPL"}end返回SOAP异常。检查soap信封，在我看来soap请求没有正确的命名空间。任何人都可以建议我

  8. ruby - 在 Ruby 程序执行时阻止 Windows 7 PC 进入休眠状态 - 2

    我需要在客户计算机上运行Ruby应用程序。通常需要几天才能完成(复制大备份文件)。问题是如果启用sleep，它会中断应用程序。否则，计算机将持续运行数周，直到我下次访问为止。有什么方法可以防止执行期间休眠并让Windows在执行后休眠吗？欢迎任何疯狂的想法;-) 最佳答案 Here建议使用SetThreadExecutionStateWinAPI函数，使应用程序能够通知系统它正在使用中，从而防止系统在应用程序运行时进入休眠状态或关闭显示。像这样的东西:require'Win32API'ES_AWAYMODE_REQUIRED=0x0

  9. python - 如何使用 Ruby 或 Python 创建一系列高音调和低音调的蜂鸣声？ - 2

    关闭。这个问题是opinion-based.它目前不接受答案。想要改进这个问题？更新问题，以便editingthispost可以用事实和引用来回答它.关闭4年前。Improvethisquestion我想在固定时间创建一系列低音和高音调的哔哔声。例如:在150毫秒时发出高音调的蜂鸣声在151毫秒时发出低音调的蜂鸣声200毫秒时发出低音调的蜂鸣声250毫秒的高音调蜂鸣声有没有办法在Ruby或Python中做到这一点？我真的不在乎输出编码是什么(.wav、.mp3、.ogg等等)，但我确实想创建一个输出文件。

  10. ruby-on-rails - 如何验证 update_all 是否实际在 Rails 中更新 - 2

    给定这段代码defcreate@upgrades=User.update_all(["role=?","upgraded"],:id=>params[:upgrade])redirect_toadmin_upgrades_path,:notice=>"Successfullyupgradeduser."end我如何在该操作中实际验证它们是否已保存或未重定向到适当的页面和消息？ 最佳答案 在Rails3中，update_all不返回任何有意义的信息，除了已更新的记录数(这可能取决于您的DBMS是否返回该信息)。http://ar.ru

随机推荐