4

Как работает в Windows аутентификации в вебе.

Вот я создал Web Api для теста.

Обращаюсь к ValuesController и каким-то магическим образом мои учетные данные попадают в контроллер.

Как они там оказываются? Их браузер передает? Откуда он знает, что он их должен приложить?

2
  • Подробнее, если возможно. Вероятно если проходит обычная Basic или Digest http авторизация на определенный адрес, и вы посещали до этого этот ресурс, авторизовались на нем и сохранили пароль.. :) А в настройках webApi атрибутами задаётся авторизация, проверьте этот момент.
    – NewView
    18 янв 2019 в 18:33
  • NTLM | NTLMv2 | Kerberos. Судя по документации, там используется по умолчанию NTLM.
    – EvgeniyZ
    18 янв 2019 в 18:40

1 ответ 1

4

Как договорятся браузер и сервер о протоколе во время хендшейка.

Очень любопытно ковырять исходники owin или какого-нибудь стороннего веб-сервера попроще (я люблю NancyFX). Вот например, сервер может работать в одном из следующих режимов:

  • Anonymous
  • Basic
  • Digest
  • IntegratedWindowsAuthentication
  • Negotiate
  • None
  • Ntlm

Пример кода NancyFX для доменной авторизации:

using System.Net;
using Owin;

namespace NancyWebApp.Nancy.Owin
{
    public class Startup
    {
        public void Configuration(IAppBuilder app)
        {
            var listener = (HttpListener) app.Properties["System.Net.HttpListener"];
            listener.AuthenticationSchemes = AuthenticationSchemes.IntegratedWindowsAuthentication;

            app.UseNancy();
        }
    }
}

Вероятнее всего будет Kerberos или NTLM. Да-да, я сам был удивлён, что старик ntlm до сих пор жив.

Я как-то разбирался в похожем вопросе - можете посмотреть ссылки на MSDN, где оооочень подробно расписаны все шаги по установлению протокола и формату пересылаемых сообщений.

Отдельно надо иметь ввиду, что если вы в браузере рассматриваете заголовки -- будьте готовы к тому, что хром обманывает и показывает не все.

Также отдельно нужно понимать, что во многих случаях в случае CORS-запросов перед реальным POST-запросом браузер любит отправлять предварительные заголовки OPTIONS - и это тоже поначалу сбивает с толку при отладке WebAPI. (Возможно, вы уже сталкивались? Не знаю, но упомяну)

Очень любопытно моделировать настоящий браузер из HttpClient'а и сравнивать поведение с реальным браузером - как это выглядит всё в fiddler'е (Прямо говоря, установка fiddler'а - это ещё тот танец с бубном когда речь заходит о HTTPS-протоколе, там штуки три подводных камня есть, которые придётся пройти).

Вот например для NTLM:

public class WebRequestHelper
{
    public WebRequestHelper(string userName, string password, string domain)
    {
        var credentials = new NetworkCredential(userName, password, domain);
        var handler = new HttpClientHandler { Credentials = credentials, UseDefaultCredentials = false };
        this.Client = new HttpClient(handler);
    }

    public HttpClient Client { get; set; }

    public async Task<string> GetAsync(string uri)
    {
        return await this.Client.GetStringAsync(uri);
    }

    public async Task<string> PostFormAsync(string uri, Dictionary<string, string> data)
    {
        var content = new FormUrlEncodedContent(data);
        var response = await this.Client.PostAsync(uri, content);
        return await response.Content.ReadAsStringAsync();
    }

    public async Task<string> PostAsync(string uri, string jsonString)
    {
        var content = new StringContent(jsonString, Encoding.UTF8, "application/json");     
        var response = await this.Client.PostAsync(uri, content);
        return await response.Content.ReadAsStringAsync();
    }
}

Готовим WebApi, обстреливаем:

var unit = new WebRequestHelper("AK", "password", "domain");

unit.GetAsync("https://localhost:44395/api/values").Result.Dump(); // Expected: ["value1","value2"] 

А вот - для JWT мой linqpad'овский скрипт:

public class WebRequestHelper
{
    public async Task<string> GetAsync(string uri)
    {
        var client = new HttpClient();
        return await client.GetStringAsync(uri);
    }

    public async Task<string> PostFormAsync(string uri, Dictionary<string, string> data)
    {
        var client = new HttpClient();
        var content = new FormUrlEncodedContent(data);
        var response = await client.PostAsync(uri, content);
        return await response.Content.ReadAsStringAsync();
    }

    public async Task<string> PostAsync(string uri, string jsonString)
    {
        var client = new HttpClient();
        var content = new StringContent(jsonString, Encoding.UTF8, "application/json");     
        var response = await client.PostAsync(uri, content);
        return await response.Content.ReadAsStringAsync();
    }

    public async Task<Token> GetToken(string tokenUrl, string username, string password)
    {
        var data = new Dictionary<string, string> {
            { "username", username },
            { "password", password },
        };

        var answer = await this.PostFormAsync(tokenUrl, data);

        if(string.Equals(answer, "Invalid username or password."))
            return null;

        return JsonConvert.DeserializeObject<Token>(answer);
    }

    public async Task<string> GetWithJwtAsync(string uri, Token token)
    {
        var client = new HttpClient();
        client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", token.Value);
        return await client.GetStringAsync(uri);
    }

    public async Task<string> PostFormWithJwtAsync(string uri, Dictionary<string, string> data, Token token)
    {
        var client = new HttpClient();
        client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("JWT", token.Value);
        var content = new FormUrlEncodedContent(data);
        var response = await client.PostAsync(uri, content);
        return await response.Content.ReadAsStringAsync();
    }

    public async Task<string> PostWithJwtAsync(string uri, string jsonString, Token token)
    {
        var client = new HttpClient();
        client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", token.Value);
        var content = new StringContent(jsonString, Encoding.UTF8, "application/json");
        var response = await client.PostAsync(uri, content);
        return await response.Content.ReadAsStringAsync();
    }
}

public class Token
{
    [JsonProperty("access_token")]
    public string Value { get; set; }

    [JsonProperty("username")]
    public string UserName { get; set; }
}

И очень хорошо подключать swagger к серверной части, чтобы смотреть за тем API, которое вы создаёте.

4
  • Еще вопрос, может и для отдельного вопроса, но может ответ коротки будет: Вот клиент отправил учетные данные, сервер их проверил. Нужно ли возвращать какой-нибудь токен. Я же, как понимаю, если не использовать Токены, то клиент при каждом запросе будет вынужден учетные данные отправлять?
    – iluxa1810
    18 янв 2019 в 19:10
  • @iluxa1810 Для Basic авторизации ничего не нужно возвращать, для NTLM самим веб-сервером возвращается сеансовая кука (до закрытия браузера), непосредственно токен вы отдаёте в случае JWT токенов. Вот код отдающий токен (тынц, тынц) - примерно такой же код в 3rd party сервере типа IdentityServer. И клиент их и шлёт! Вы откройте в браузере какой-нибудь свой корпоративный портал и поизучайте отправляемые заголовки. Я штук пять приложений так написал с разными типами авторизации, пока готовил реальное API
    – A K
    18 янв 2019 в 19:14
  • А эти сеансовые куки хранятся в памяти сервера?
    – iluxa1810
    18 янв 2019 в 19:40
  • @iluxa1810 Это сложный вопрос, я не уверен что могу просто, правильно и понятно объяснить. Почитайте лучше в документации, как контроллер домена их генерирует и как веб-сервер валидирует и может ли в каких-то ситуациях сделать это без контроллера домена. Случаи есть разные, односложно не ответить.
    – A K
    18 янв 2019 в 20:00

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.