asp.net पहचान के बिना एएसपी.नेट कोर 2.0 बियरर एथ




asp.net-core bearer-token (2)

मैंने सोचा था कि जब मैं एक दिन पहले एक एनएटी कोर 2.0 पर आत्मनिहित वाहक वेबपी को कार्यान्वित करने के लिए निर्धारित किया था, तो मेरे मन में एक बहुत आसान लक्ष्य था, लेकिन मुझे दूर से काम करने के लिए कुछ भी प्राप्त नहीं हुआ है। यहाँ मैं क्या करने की कोशिश कर रहा हूँ की एक सूची है:

  • वाहक टोकन संरक्षित वेबपी को लागू करें
  • एक ही परियोजना में एक एंडपॉइंट से टोकन टोकन और रीफ़्रेश करें
  • एपीआई सतह तक पहुंच को नियंत्रित करने के लिए [प्राधिकृत] विशेषता का उपयोग करें
  • एएसपी.नेट पहचान का उपयोग न करें (मेरे पास बहुत हल्का वजन उपयोगकर्ता / सदस्यता रीकॉप्स है)

मैं पूरी तरह से ठीक पहचान / दावा / प्रिंसिपल के निर्माण के साथ ठीक हूं और संदर्भ जोड़ने के लिए जोड़ रहा हूं, लेकिन मैंने बिना किसी पहचान के कोर 2.0 वेबपीआई में ऑथ / रीफ्रेश टोकन जारी करने और उपभोग करने का एक उदाहरण नहीं देखा है। मैंने पहचान के बिना कुकीज़ के 1.x एमएसडीएन उदाहरण को देखा है, लेकिन उसने मुझे ऊपर की आवश्यकताओं को पूरा करने के लिए पर्याप्त रूप से पर्याप्त नहीं मिला।

मुझे लगता है कि यह एक सामान्य परिदृश्य हो सकता है और यह मुश्किल नहीं होनी चाहिए (शायद यह संभवतः दस्तावेज़ीकरण / उदाहरणों की कमी नहीं है?) जहाँ तक मैं बता सकता हूं, IdentityServer4 कोर 2.0 एथ के साथ संगत नहीं है, अपेंडिडिड को पहचान की आवश्यकता होती है। मैं टोकन समापन बिंदु को एक अलग प्रक्रिया में होस्ट नहीं करना चाहता हूं, लेकिन उसी वेबपिया के उदाहरण के भीतर।

क्या कोई मुझे एक ठोस उदाहरण के लिए इंगित करता है, या कम से कम सबसे अच्छा कदम / विकल्प क्या है के रूप में कुछ मार्गदर्शन दे?


@ मिच के उत्तर पर निम्नलिखित: ऑथ स्टैक काफी कुछ नेट .0 में बढ़ रहा है। नीचे दिए गए जवाब सिर्फ नए कार्यान्वयन का उपयोग कर रहे हैं

using System.Text;
using Microsoft.AspNetCore.Authentication.JwtBearer;
using Microsoft.AspNetCore.Builder;
using Microsoft.AspNetCore.Hosting;
using Microsoft.Extensions.Configuration;
using Microsoft.Extensions.DependencyInjection;
using Microsoft.IdentityModel.Tokens;

namespace JwtWithoutIdentity
{
    public class Startup
    {
        public Startup(IConfiguration configuration)
        {
            Configuration = configuration;
        }

        public IConfiguration Configuration { get; }

        // This method gets called by the runtime. Use this method to add services to the container.
        public void ConfigureServices(IServiceCollection services)
        {
            services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
                .AddJwtBearer(cfg =>
                {
                    cfg.RequireHttpsMetadata = false;
                    cfg.SaveToken = true;

                    cfg.TokenValidationParameters = new TokenValidationParameters()
                    {
                        ValidIssuer = "me",
                        ValidAudience = "you",
                        IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("rlyaKithdrYVl6Z80ODU350md")) //Secret
                    };

                });

            services.AddMvc();
        }

        // This method gets called by the runtime. Use this method to configure the HTTP request pipeline.
        public void Configure(IApplicationBuilder app, IHostingEnvironment env)
        {
            if (env.IsDevelopment())
            {
                app.UseDeveloperExceptionPage();
            }

            app.UseAuthentication();

            app.UseMvc();
        }
    }
}

टोकन नियंत्रक

using System;
using System.IdentityModel.Tokens.Jwt;
using System.Security.Claims;
using System.Text;
using System.Threading.Tasks;
using JwtWithoutIdentity.Models;
using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Mvc;
using Microsoft.IdentityModel.Tokens;

namespace JwtWithoutIdentity.Controllers
{
    public class TokenController : Controller
    {

        [AllowAnonymous]
        [Route("api/token")]
        [HttpPost]
        public async Task<IActionResult> Token(LoginViewModel model)
        {

            if (!ModelState.IsValid) return BadRequest("Token failed to generate");

            var user = (model.Password == "password" && model.Username == "username");

            if (!user) return Unauthorized();

            //Add Claims
            var claims = new[]
            {
                new Claim(JwtRegisteredClaimNames.UniqueName, "data"),
                new Claim(JwtRegisteredClaimNames.Sub, "data"),
                new Claim(JwtRegisteredClaimNames.Jti, Guid.NewGuid().ToString()),
            };

            var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("rlyaKithdrYVl6Z80ODU350md")); //Secret
            var creds = new SigningCredentials(key, SecurityAlgorithms.HmacSha256);

            var token = new JwtSecurityToken("me",
                "you",
                claims,
                expires: DateTime.Now.AddMinutes(30),
                signingCredentials: creds);

            return Ok(new JsonWebToken()
            {
                access_token = new JwtSecurityTokenHandler().WriteToken(token),
                expires_in = 600000,
                token_type = "bearer"
            });
        }
    }
}

मूल्य नियंत्रक

using System.Collections.Generic;
using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Mvc;

namespace JwtWithoutIdentity.Controllers
{
    [Route("api/[controller]")]
    public class ValuesController : Controller
    {
        // GET api/values
        [Authorize]
        [HttpGet]
        public IEnumerable<string> Get()
        {
            var name = User.Identity.Name;
            var claims = User.Claims;

            return new string[] { "value1", "value2" };
        }
    }
}

उम्मीद है की यह मदद करेगा!


क्या इसे एएसपी.नेट कोर 2.0 के साथ संगत बनाने के लिए एक संपादन किया था।

सबसे पहले, कुछ न्यूजेट पैकेज:

  • Microsoft.AspNetCore.Authentication.JwtBearer
  • Microsoft.AspNetCore.Identity
  • System.IdentityModel.Tokens.Jwt
  • System.Security.Cryptography.Csp

फिर कुछ बुनियादी डेटा स्थानांतरण ऑब्जेक्ट

// Presumably you will have an equivalent user account class with a user name.
public class User
{
    public string UserName { get; set; }
}

public class JsonWebToken
{
    public string access_token { get; set; }

    public string token_type { get; set; } = "bearer";

    public int expires_in { get; set; }

    public string refresh_token { get; set; }
}

उचित कार्यक्षमता प्राप्त करने के लिए, आपको उपयोगकर्ता को प्राधिकरण टोकन वास्तव में भेजने के लिए लॉगिन / टोकन वेब विधि की आवश्यकता होगी।

[Route("api/token")]
public class TokenController : Controller
{
    private ITokenProvider _tokenProvider;

    public TokenController(ITokenProvider tokenProvider) // We'll create this later, don't worry.
    {
        _tokenProvider = tokenProvider;
    }

    public JsonWebToken Get([FromQuery] string grant_type, [FromQuery] string username, [FromQuery] string password, [FromQuery] string refresh_token)
    {
        // Authenticate depending on the grant type.
        User user = grant_type == "refresh_token" ? GetUserByToken(refresh_token) : GetUserByCredentials(username, password);

        if (user == null)
            throw new UnauthorizedAccessException("No!");

        int ageInMinutes = 20;  // However long you want...

        DateTime expiry = DateTime.UtcNow.AddMinutes(ageInMinutes);

        var token = new JsonWebToken {
            access_token = _tokenProvider.CreateToken(user, expiry),
            expires_in   = ageInMinutes * 60
        };

        if (grant_type != "refresh_token")
            token.refresh_token = GenerateRefreshToken(user);

        return token;
    }

    private User GetUserByToken(string refreshToken)
    {
        // TODO: Check token against your database.
        if (refreshToken == "test")
            return new User { UserName = "test" };

        return null;
    }

    private User GetUserByCredentials(string username, string password)
    {
        // TODO: Check username/password against your database.
        if (username == password)
            return new User { UserName = username };

        return null;
    }

    private string GenerateRefreshToken(User user)
    {
        // TODO: Create and persist a refresh token.
        return "test";
    }
}

आप शायद टोकन के निर्माण पर ध्यान देते हैं कि अभी भी कुछ जादूत्मक ITokenProvider द्वारा पारित "जादू" है टोकन प्रदाता इंटरफ़ेस को परिभाषित करें

public interface ITokenProvider
{
    string CreateToken(User user, DateTime expiry);

    // TokenValidationParameters is from Microsoft.IdentityModel.Tokens
    TokenValidationParameters GetValidationParameters();
}

मैंने जेडब्ल्यूटी पर एक आरएसए सुरक्षा कुंजी के साथ टोकन निर्माण कार्यान्वित किया इसलिए...

public class RsaJwtTokenProvider : ITokenProvider
{
    private RsaSecurityKey _key;
    private string _algorithm;
    private string _issuer;
    private string _audience;

    public RsaJwtTokenProvider(string issuer, string audience, string keyName)
    {
        var parameters = new CspParameters { KeyContainerName = keyName };
        var provider = new RSACryptoServiceProvider(2048, parameters);

        _key = new RsaSecurityKey(provider);

        _algorithm = SecurityAlgorithms.RsaSha256Signature;
        _issuer = issuer;
        _audience = audience;
    }

    public string CreateToken(User user, DateTime expiry)
    {
        JwtSecurityTokenHandler tokenHandler = new JwtSecurityTokenHandler();

        ClaimsIdentity identity = new ClaimsIdentity(new GenericIdentity(user.UserName, "jwt"));

        // TODO: Add whatever claims the user may have...

        SecurityToken token = tokenHandler.CreateJwtSecurityToken(new SecurityTokenDescriptor
        {
            Audience = _audience,
            Issuer = _issuer,
            SigningCredentials = new SigningCredentials(_key, _algorithm),
            Expires = expiry.ToUniversalTime(),
            Subject = identity
        });

        return tokenHandler.WriteToken(token);
    }

    public TokenValidationParameters GetValidationParameters()
    {
        return new TokenValidationParameters
        {
            IssuerSigningKey = _key,
            ValidAudience = _audience,
            ValidIssuer = _issuer,
            ValidateLifetime = true,
            ClockSkew = TimeSpan.FromSeconds(0) // Identity and resource servers are the same.
        };
    }
}

तो अब आप टोकन उत्पन्न कर रहे हैं वास्तव में उन्हें मान्य करने और तार करने के लिए समय। अपने स्टार्टअप.cs पर जाएं

ConfigureServices()

var tokenProvider = new RsaJwtTokenProvider("issuer", "audience", "mykeyname");
services.AddSingleton<ITokenProvider>(tokenProvider);

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options => {
        options.RequireHttpsMetadata = false;
        options.TokenValidationParameters = tokenProvider.GetValidationParameters();
    });

// This is for the [Authorize] attributes.
services.AddAuthorization(auth => {
    auth.DefaultPolicy = new AuthorizationPolicyBuilder()
        .AddAuthenticationSchemes(JwtBearerDefaults.AuthenticationScheme)
        .RequireAuthenticatedUser()
        .Build();
});

फिर Configure()

public void Configure(IApplicationBuilder app)
{
    app.UseAuthentication();

    // Whatever else you're putting in here...

    app.UseMvc();
}

यह आपके सभी की आवश्यकता के बारे में होना चाहिए। उम्मीद है कि मुझे कुछ भी याद नहीं है

खुश परिणाम है ...

[Authorize] // Yay!
[Route("api/values")]
public class ValuesController : Controller
{
    // ...
}




bearer-token