3

Мне нужно написать back-end с двумя типами аутентификации: JWT для обычных пользователей и Cookie для администраторов. Я знаю, что это делается очень просто, нужно в классе Startup написать что-то похожее на это:

services.AddAuthentication(options =>
           {
               options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
               options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
           })
        .AddJwtBearer()
        .AddCookie();

Конкретно мне не понятно, где узнать, какие схемы аутентификации бывают или как настроить схему под себя? Как написать, что посетитель с ролью user авторизуется через JWT, а admin через Cookie? Очень жалко, что нет учебника где было бы все подробно расписано. Пока что нашел как осуществить миграцию с .net core 1.x на 2.x, там приведены некоторые схемы аутентификации, но не такие которые нужны мне. Вот ссылка. Еще нашел как совместить Identity и JWT аутентификацию, но там все равно не то что нужно. Вот ссылка.

1 ответ 1

2

какие схемы аутентификации бывают

Отправлю к трём замечательным вопросам на ru so:

Как написать, что посетитель с ролью user авторизуется через JWT, а admin через Cookie?

Сама постановка задачи говорит о том, что вы путаете процесс аутентификации и авторизации.

  • Идентификация — процесс определения, что за человек перед нами.
  • Аутентификация — процесс подтверждения, что этот человек именно тот, за кого себя выдает.
  • Авторизация — процесс принятия решения о том, что именно этой аутентифицированной персоне разрешается делать.

Поэтому фраза "авторизуется через JWT" некоректна: JWT/cookie - это процесс аутентификации. То есть приходит пользователь, приносит куки или токен и говорит "я есть Пупкин".

Поэтому в принципе вы не можете уже после определения роли указать, каким аутентификационным механизмом пользоваться.

Но можно поступить чуть иначе. ;)

Допустим, у вас есть механизм аутентификации по JWT (см. метод Auth класса AccountController).

Вы можете не только при principal == null отдавать 401, но и отдавать 403 если principal не пустой, но содержит claim имеющий claimType=Role со значением admin. То есть не отдавать админам токен.

Или если подобный запрет нужно более точечно сделать - указать схему авторизации только в нужных местах:

public class HomeController : Controller
{
    [Authorize(AuthenticationSchemes = CookieAuthenticationDefaults.AuthenticationScheme)]
    public IActionResult Index()
    {
    }

    [Authorize(AuthenticationSchemes = JwtBearerDefaults.AuthenticationScheme)]
    public IActionResult About()
    {
    }
}
2
  • А почему не корректно авторизироваться через JWT? Там можно хранить данные о роли.
    – John
    4 июл 2021 в 9:24
  • @John У топикстартера вопрос о выборе из двух методов, при этом выбор делается на основе данных которые будут известны ПОСЛЕ выполнения метода. Этакий unzip.zip А в целом если у вас один метод - только JWT, то почему конечно же можно.
    – A K
    4 июл 2021 в 12:48

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.