我正在按照下面的 GitHub 示例在 WebApp 和 WebApi 中实现身份验证机制。

https://github.com/AzureADSamples/WebApp-WebAPI-OpenIDConnect-DotNet

我正在为 WebApp 和 WebApi 使用单个应用程序注册，获取“https://abc.onmicrosoft.com/App”的访问 token 并将其传递给 WebApi。我将 token 附加到名称为“Bearer”的 HTTPS header 。我在 WebApi Owin Startup 类中有以下内容来验证受众和租户的 token ，但实际上并没有按预期验证这些 token 。

几个问题: 1. 是什么触发了下面的处理程序来为租户和观众验证 token ？是 Controller 类的 [Authorize] 属性吗？ 2.如何找到执行处理程序的 token ？ 3. 将 SaveSigninToken 设置为 true 以保存 token 。我如何检索 token 并从此 token 获取图形 API 的访问 token ？

app.UseWindowsAzureActiveDirectoryBearerAuthentication(
              new WindowsAzureActiveDirectoryBearerAuthenticationOptions
              {
                  Tenant = "abc.onmicrosoft.com",

                  TokenValidationParameters = new TokenValidationParameters
                  {
                      ValidAudience = "https://abc.onmicrosoft.com/App",
                      SaveSigninToken = true,
                  }
              });

请指教。提前致谢!

最佳答案

What triggers the below handler to validate the token for the tenant and audience?

中间件默认以Active 模式运行，因此它会尝试在每个请求中查找 token 。如果它找到一个，它将尝试验证它。如果它发现它是有效的，则会创建一个 ClaimsPrincipal，它可以在进一步的 OWIN 中间件和 Web API 组件中访问。

它还会下载公钥，用于在应用程序启动时从 Azure AD 检查 token 签名。如果您使用像 Fiddler 这样的工具，您可以看到这一点。

How does it where to find the token to execute the handler?

我不确定我是否理解这个问题，我希望我上面的回答阐明了这个过程。

Setting the SaveSigninToken to true saves the token. How can I retrieve the token and also Acquire access token for Graph API from this token?

您尝试做的是使用on-behalf-of 流程调用API。您可以在此处找到示例应用程序:https://github.com/Azure-Samples/active-directory-dotnet-webapi-onbehalfof .更具体地说，您应该对这部分感兴趣:https://github.com/Azure-Samples/active-directory-dotnet-webapi-onbehalfof/blob/master/TodoListService/Controllers/TodoListController.cs#L133 .

        ClientCredential clientCred = new ClientCredential(clientId, appKey);
        var bootstrapContext = ClaimsPrincipal.Current.Identities.First().BootstrapContext as System.IdentityModel.Tokens.BootstrapContext;
        string userName = ClaimsPrincipal.Current.FindFirst(ClaimTypes.Upn) != null ? ClaimsPrincipal.Current.FindFirst(ClaimTypes.Upn).Value : ClaimsPrincipal.Current.FindFirst(ClaimTypes.Email).Value;
        string userAccessToken = bootstrapContext.Token;
        UserAssertion userAssertion = new UserAssertion(bootstrapContext.Token, "urn:ietf:params:oauth:grant-type:jwt-bearer", userName);

        string authority = String.Format(CultureInfo.InvariantCulture, aadInstance, tenant);
        string userId = ClaimsPrincipal.Current.FindFirst(ClaimTypes.NameIdentifier).Value;
        AuthenticationContext authContext = new AuthenticationContext(authority, new DbTokenCache(userId));

        // In the case of a transient error, retry once after 1 second, then abandon.
        // Retrying is optional.  It may be better, for your application, to return an error immediately to the user and have the user initiate the retry.
        bool retry = false;
        int retryCount = 0;

        do
        {
            retry = false;
            try
            {
                result = await authContext.AcquireTokenAsync(graphResourceId, clientCred, userAssertion);
                accessToken = result.AccessToken;
            }
            catch (AdalException ex)
            {
                if (ex.ErrorCode == "temporarily_unavailable")
                {
                    // Transient error, OK to retry.
                    retry = true;
                    retryCount++;
                    Thread.Sleep(1000);
                }
            }
        } while ((retry == true) && (retryCount < 1));

关于c# - UseWindowsAzureActiveDirectoryBearerAuthentication 如何验证 token ？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/32474133/