0

Доброго времени суток! Возникла следующая трудность, при передаче данных о пользователе, прошедшем аутентификацию в приложении ASP.NET MVC на строну AngularJS + ASP.NET WebApi. В обоих приложениях настроена аутентификация пользователей, хотелось бы, чтобы после авторизации пользователя в ASP.NET MVC приложении, пользователь получал доступ (по средствам: cookies, token или SSO) к приложению AngularJS + ASP.NET WebApi.

Единственный рабочий способ к которому я пришел, это создание cookie в приложении MVC (черновой вариант).

ASP.NET MVC:

public void CreateCookie(string user, string password, bool isAuth = false)
{
   const string cookiesName = "AUTH_COOKIES";

   FormsAuthenticationTicket ticket = new FormsAuthenticationTicket(1, user, DateTime.Now, DateTime.Now.Add(FormsAuthentication.Timeout), isAuth, password, FormsAuthentication.FormsCookiePath);

   HttpCookie cookies = new HttpCookie(cookiesName)
   {
      Value = FormsAuthentication.Encrypt(ticket),
      Expires = DateTime.Now.Add(FormsAuthentication.Timeout)
   };

   Response.Cookies.Add(cookies);
}

И считывание данного cookie в AngularJS + ASP.NET WebApi по средствам 'ngCookies' и передача в WebApi

AngularJS + ASP.NET WebApi:

public UserInfo GetCookies(string encryptCookie)
{    
    var decryptCookies = FormsAuthentication.Decrypt(encryptCookie);

    return new UserInfo() { Username = decryptCookies.Name, Password = decryptCookies.UserData };
}

Данный способ имеет недостаток в том, что если cookie "жив", то авторизация будет бесконечной, понимаю, что надо ограничить время действия cookie или смотреть на его дату создания.

После изучения различных статей по cookies, token, SSO, запутался в том, какой вариант будет лучшем в данной ситуации?

Аутентификация в приложении AngularJS + ASP.NET WebApi настроена по данной инструкции

Буду благодарен за любые статьи и ссылки.

1 ответ 1

2

Ок, для начала стоит разницу между аутентификацией и авторизацией.

Аутентификация - процесс проверки подлинности, т.к. процесс выяснения, кем именно является текущий пользователь.

Авторизация - процесс принятия решения, пускать ли пользователя куда-то.

Вам нужна именно аутентификация. Аутентификация в ASP.NET сводится, по сути, к заполнению HttpContext.User.Identity. По сути, со стороны ASP.NET висит несколько разных модулей/middleware, каждый из которых на основании какого-то признака может заявить "о, это юзер такой-то, я подтверждаю!":

Старый ASP.NET Forms Auth

Работает так:

  1. Вызов FormsAuthentication.SetAuthCookie или FormsAuthentication.RedirectFromLoginPage выставляет cookie, в котором лежит зашифрованный username.
  2. Глобальный HTTP Module просматривает все запросы и если види куку - аутентифицирует запрос.

Минусы:

  1. Подвержен атаке CSRF - любой левый сайт может отрендерить форму, которая сделает POST в ваше приложение, и этот POST пройдет. Для не-апи от этого спасает стандартный механизи Anti Forgery. Для API - не спасает ничего.
  2. Не дает сохранить в куку ничего, кроме username. Поэтому вы вынуждены или на каждом запросе вычитывать дополнительные данные для юзера из базы, или вписывать вместо username что-то свое.
  3. Не позволяет отзывать cookies. Нет механизма вылогинивания пользователя раз и навсегда.

Cookie Authentication из ASP.NET Core Identity

По сути, исправленная версия Forms Auth. Несмотря на то, что является частью ASP.NET Identity, может быть использован и без него.

Работает по тому же принципу, что FormsAuth, но исправляет основную проблему:

Позволяет сохранять в cookie не просто username, а набор claims (утверждений, вида имя: а, роль: б, id пользователя: 5), что позволяет приложению не лезть в базу на каждом запросе и не использовать хитрые схемы сериализации JWT в username.

При этом cookie все равно вечные, неотзывные (валидация "отозвано/не отозвано" лежит на разработчике, через событие ValidatePrincipal).

OAuth Bearer Tokens

Механизим, позволяющий надежно аутентифицировать пользователя на основе заголовка Authentication: Bearer. Предназначен для API и для SPA приложений.

Решает проблемы CSRF и проблему отзыва.

CSRF: Вместо cookie используется http header, который клиентская часть должна сама добавлять в каждый запрос. Нет подставляемой автоматически cookie - нет CSRF.

Отзыв: токены разделяются на два вида:

  • access_token - короткоживущий, stateless, используется для аутентификации.
  • refresh_token - должгоживущий, обычно statefull, используется для выдачи новых access_token.

Минус - не применим в не-SPA приложении, т.к. браузер сам не шлет соответствующий заголовок.

Процесс подключения:

В качестве основы можно взять стандартный не-core шаблон ASP.NET Web App): Cоответствующий middleware уже будет подключен в самом шаблоне, вызовом app.UseOAuthBearerTokens(OAuthOptions).

Если у вас отдельная, не SPA страница логина, то со стороны бэкенда - все готово (наиболее вероятный случай)

  • Редиректите всех подряд (до логина) на /Account/Authorize?client_id=web&response_type=token&state=
  • Пользователю показывает страницу логина
  • После логина - его редиректит на /#access_token=nRUQN1j-wVFoMQ....
  • Берете токен и шлете его в заголовке вида Authentication: Bearer nRUQN1j-wVFoMQ....

И выставляете лайфтайм токена таким, чтобы он не заканчивался в течении одной пользовательской сессии (в смысле одного посещения приложения).

По сути вы получаете Cookies Auth для приложения + OAuth для API.


Если у вас интегрированная в SPA страница логина - вам придется получать токены ajax-запросом к '/token', предъявляя grant (в вашем случае - password):

  • На сервере: переопределяете ApplicationOAuthProvider.GrantResourceOwnerCredentials так, чтобы он проверял имя и пароль, и пропускал тех, кого нужно.
  • На клиенте: отправляете имя и пароль в виде

    Content-Type: application/x-www-form-urlencoded
    grant_type=password&username=johndoe&password=A3ddj3w
    
  • Получаете токен, шлете его в каждом запросе.


P.S. Сторонний SSO -по сути сводится к тому, что ваше приложение проверяет аутентификацию/авторизацию пользователя где-то на стороне, и по ее прохождению залогинивает пользователя в самого себя, используя механизи Cookie Auth. Т.е. случай "подключен SSO" с точки зрения работы с Web API сводится к случаю "Cookies Auth для приложения + OAuth для API" выше.

1
  • Вроде я и писал про аутентификацию, но видимо когда начал все формулировать опечатался. Прошу прощения. Спасибо за развернутый ответ.
    – Tibomso
    29 дек 2017 в 4:04

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.