我按照教程在 C# 中使用 OAuth 保护 Web API。

我正在做一些测试，到目前为止，我已经能够从 /token 成功获取访问 token 。我正在使用名为“Advanced REST Client”的 Chrome 扩展来测试它。

{"access_token":"...","token_type":"bearer","expires_in":86399}

这是我从 /token 得到的。一切看起来都很好。

我的下一个请求是我的测试 API Controller :

namespace API.Controllers
{
    [Authorize]
    [RoutePrefix("api/Social")]
    public class SocialController : ApiController
    {
      ....


        [HttpPost]
        public IHttpActionResult Schedule(SocialPost post)
        {
            var test = HttpContext.Current.GetOwinContext().Authentication.User;

            ....
            return Ok();
        }
    }
}

请求是一个 POST 并且有 header :

Authorization: Bearer XXXXXXXTOKEHEREXXXXXXX

我得到:Authorization has been denied for this request. 在 JSON 中返回。

我也尝试执行 GET，结果如我所料，该方法不受支持，因为我没有实现它。

这是我的授权提供者:

public class SimpleAuthorizationServerProvider : OAuthAuthorizationServerProvider
{
    public override async Task ValidateClientAuthentication(OAuthValidateClientAuthenticationContext context)
    {
        context.Validated();
    }

    public override async Task GrantResourceOwnerCredentials(OAuthGrantResourceOwnerCredentialsContext context)
    {

        context.OwinContext.Response.Headers.Add("Access-Control-Allow-Origin", new[] { "*" });

        using (var repo = new AuthRepository())
        {
            IdentityUser user = await repo.FindUser(context.UserName, context.Password);

            if (user == null)
            {
                context.SetError("invalid_grant", "The user name or password is incorrect.");
                return;
            }
        }

        var identity = new ClaimsIdentity(context.Options.AuthenticationType);
        identity.AddClaim(new Claim(ClaimTypes.Name, context.UserName));
        identity.AddClaim(new Claim(ClaimTypes.Role, "User"));

        context.Validated(identity); 

    }
}

任何帮助都会很棒。我不确定是请求错误还是代码错误。

编辑: 这是我的 Startup.cs

public class Startup
{
    public void Configuration(IAppBuilder app)
    {
        var config = new HttpConfiguration();
        WebApiConfig.Register(config);
        app.UseWebApi(config);
        ConfigureOAuth(app);
    }

    public void ConfigureOAuth(IAppBuilder app)
    {
        var oAuthServerOptions = new OAuthAuthorizationServerOptions()
        {
            AllowInsecureHttp = true,
            TokenEndpointPath = new PathString("/token"),
            AccessTokenExpireTimeSpan = TimeSpan.FromDays(1),
            Provider = new SimpleAuthorizationServerProvider()
        };

        // Token Generation
        app.UseOAuthAuthorizationServer(oAuthServerOptions);
        app.UseOAuthBearerAuthentication(new OAuthBearerAuthenticationOptions());

    }
}

最佳答案

问题很简单: 更改 OWIN 管道的顺序。

public void Configuration(IAppBuilder app)
{
    ConfigureOAuth(app);
    var config = new HttpConfiguration();
    WebApiConfig.Register(config);
    app.UseWebApi(config);
}

对于 OWIN 管道，您的配置顺序非常重要。在您的情况下，您尝试在 OAuth 处理程序之前使用 Web API 处理程序。在其中，您验证您的请求，发现您的安全操作并尝试根据当前 Owin.Context.User 对其进行验证。此时此用户不存在，因为它是从带有稍后调用的 OAuth 处理程序的 token 中设置的。

关于c# - 发送不记名 token 时 API 端点返回 "Authorization has been denied for this request."，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/27912003/