NET Core 多身份校验与计谋模式

罪恶克星  金牌会员 | 2024-8-30 17:21:48 | 显示全部楼层 | 阅读模式
打印 上一主题 下一主题
楼主

主题 643|帖子 643|积分 1929

背景需求：
  系统需要对接到XXX官方的API，但因此官方对接以及管理都非常严酷。而本人部分的系统中包含诸多子系统，系统间为了稳定，程序间多数固定Token+特殊验证进行调用，且后期还要提供给其他兄弟部分系统共同调用。
  原则上：每套系统都必须单独接入到官方，但官方的接入复杂，还要官方指定机构认证的证书等各种条件，此做法成本较大。
so：
  为了解决对接的XXX官方API问题，我们搭建了一套中继系统，顾名思义：就是一套用于请求中转的中继系统。在系统搭建的时，Leader提出要做多套鉴权方案，必须做到 动静结合 身份鉴权。
  动静结合：就是动态Token 和 静态固定Token。
    动态Token：用于兄弟部分系统或对外访问到此中继系统申请的Token，供后期调用对应API。
    固定Token：用于当前部分中的诸多子系统，提供一个超等Token，此Token长期有效，且不会随意更换。
入坑：
  因为刚来第一周我就接手了这个项目。项目处于申请账号阶段，即将进入开发。对接的是全英文文档（申请/对接流程/开发API....），文档复杂。当时我的感觉：OMG，这不得跑路？整个项目可谓难度之大。然后因为对内部业务也不认识，上手就看了微服务等相干系统代码，注：每套系统之间文档少的可怜，可以说系统无文档状态。
  项目移交的时间，Leader之说让我认识并逐渐进入开发，让我请教同事。好嘛，请教了同事。同事也是接了前任离职的文档而已，大家都不是很认识。于是同事让我启新的项目也是直接对接微服务形式开发，一顿操纵猛如虎。
  项目开发第二周，已经打出框架模型并对接了部分API。此时，Leader开会问进度，结果来一句：此项目使用独立API方式运行，部署到Docker，不接入公司的微服务架构。好嘛，几天功夫白费了，真是取其糟粕去其精华~，恢复成WebAPI。
技能实现：
  因为之前对身份认证鉴权这一块没有做太多的深入了解，Leader工期也在屁股追，就一句话：怎么快怎么来，先上后迭代。好嘛，为了项目方便，同时为了符合动静结合的身份认证鉴权 。于是，我用了 JWT+自定义身份认证 实现了需求。
方案一：多身份认证+中间件模式实现
添加服务：Services.AddAuthentication 默认使用JWT
  1.  //多重身份认证
  2. //默认使用JWT,如果Controller使用 AuthenticationSchemes 则采用指定的身份认证
  3. Services.AddAuthentication(options =>
  4. {
  5.     options.AddScheme<CustomAuthenticationHandler>(CustomAuthenticationHandler.AuthenticationSchemeName, CustomAuthenticationHandler.AuthenticationSchemeName);
  6.     options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
  7.     options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
  8. })
  9. .AddJwtBearer(options =>
  10. {
  11.     options.RequireHttpsMetadata = false;//设置元数据地址或权限是否需要HTTPs
  12.     options.SaveToken = true;
  13.     options.TokenValidationParameters = new TokenValidationParameters
  14.     {
  15.         ValidateIssuer = true,
  16.         ValidateAudience = true,
  17.         ValidateLifetime = true,
  18.         ValidateIssuerSigningKey = true,
  19.         ValidIssuer = builder.Configuration["Jwt:Issuer"],
  20.         ValidAudience = builder.Configuration["Jwt:Audience"],
  21.         IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(builder.Configuration["Jwt:SecretKey"]!))
  22.     };
  23.     options.Events = new CustomJwtBearerEvents();
  24. });
复制代码
自定义身份认证 CustomAuthenticationHandler.cs代码
  1.     public class CustomAuthenticationHandler : AuthenticationHandler<AuthenticationSchemeOptions>
  2.     {
  3.         public const string AuthenticationSchemeName = "CustomAuthenticationHandler";
  4.         private readonly IConfiguration _configuration;
  5.         public CustomAuthenticationHandler(
  6.             IOptionsMonitor<AuthenticationSchemeOptions> options,
  7.             ILoggerFactory logger,
  8.             UrlEncoder encoder,
  9.             ISystemClock clock,
  10.             IConfiguration configuration)
  11.             : base(options, logger, encoder, clock)
  12.         {
  13.             _configuration = configuration;
  14.         }
  15.         /// <summary>
  16.         /// 固定Token认证
  17.         /// </summary>
  18.         /// <returns></returns>
  19.         protected override async Task<AuthenticateResult> HandleAuthenticateAsync()
  20.         {
  21.             string isAnonymous = Request.Headers["IsAnonymous"].ToString();
  22.             if (!string.IsNullOrEmpty(isAnonymous))
  23.             {
  24.                 bool isAuthenticated = Convert.ToBoolean(isAnonymous);
  25.                 if (isAuthenticated)
  26.                     return AuthenticateResult.NoResult();
  27.             }
  29.             string authorization = Request.Headers["Authorization"].ToString();
  30.             // "Bearer " --> Bearer后面跟一个空格
  31.             string token = authorization.StartsWith("Bearer ") ? authorization.Remove(0, "Bearer ".Length) : authorization;
  32.             if (string.IsNullOrEmpty(token))
  33.                 return AuthenticateResult.Fail("请求头Authorization不允许为空。");
  35.             //通过密钥，进行加密、解密对比认证
  36.             if (!VerifyAuthorization(token))
  37.                 return AuthenticateResult.Fail("传入的Authorization身份验证失败。");
  40.             return AuthenticateResult.Success(GetTicket());
  41.         }
  42.         private AuthenticationTicket GetTicket()
  43.         {
  44.             // 验证成功，创建身份验证票据
  45.             var claims = new[]
  46.             {
  47.                 new Claim(ClaimTypes.Role, "Admin"),
  48.                 new Claim(ClaimTypes.Role, "Public"),
  49.             };
  50.             var identity = new ClaimsIdentity(claims, Scheme.Name);
  51.             var principal = new ClaimsPrincipal(identity);
  52.             var ticket = new AuthenticationTicket(principal, new AuthenticationProperties(), this.Scheme.Name);
  53.             return ticket;
  54.         }
  55.         private bool VerifyAuthorization(string token)
  56.         {
  57.             //token: [0]随机生成64位字符串，[1]载荷数据，[2]采用Hash对[0]+[1]的签名
  58.             var tokenArr = token.Split('.');
  59.             if (tokenArr.Length != 3)
  60.             {
  61.                 return false;
  62.             }
  63.             try
  64.             {
  65.                 //1、先比对签名串是否一致
  66.                 string signature = tokenArr[1].Hmacsha256HashEncrypt().ToLower();
  67.                 if (!signature.Equals(tokenArr[2].ToLower()))
  68.                 {
  69.                     return false;
  70.                 }
  72.                 //解密
  73.                 var aecStr = tokenArr[1].Base64ToString();
  74.                 var clientId = aecStr.DecryptAES();
  75.                 //2、再验证载荷数据的有效性
  76.                 var clientList = _configuration.GetSection("FixedClient").Get<List<FixedClientSet>>();
  77.                 var clientData = clientList.SingleOrDefault(it => it.ClientID.Equals(clientId));
  78.                 if (clientData == null)
  79.                 {
  80.                     return false;
  81.                 }
  82.             }
  83.             catch (Exception)
  84.             {
  85.                 throw;
  86.             }
  88.             return true;
  89.         }
  90.     }
复制代码
使用中间件：UseMiddleware
  1. app.UseAuthentication();
  2. //中间件模式：自定义认证中间件:双重认证选其一
  3. //如果使用 策略，需要注释掉 中间件
  4. app.UseMiddleware<FallbackAuthenticationMiddleware>(); //使用中间件实现
  5. app.UseAuthorization();
复制代码
中间件FallbackAuthenticationMiddleware.cs代码实现
  1.    public class FallbackAuthenticationMiddleware
  2.   {
  3.       private readonly RequestDelegate _next;
  4.       private readonly IAuthenticationSchemeProvider _schemeProvider;
  6.       public FallbackAuthenticationMiddleware(RequestDelegate next, IAuthenticationSchemeProvider schemeProvider)
  7.       {
  8.           _next = next;
  9.           _schemeProvider = schemeProvider;
  10.       }
  11.       /// <summary>
  12.       /// 身份认证方案
  13.       /// 默认JWT。JWT失败，执行自定义认证
  14.       /// </summary>
  15.       /// <param name="context"></param>
  16.       /// <returns></returns>
  17.       public async Task InvokeAsync(HttpContext context)
  18.       {
  19.           var endpoints = context.GetEndpoint();
  20.           if (endpoints == null || !endpoints.Metadata.OfType<IAuthorizeData>().Any() || endpoints.Metadata.OfType<IAllowAnonymous>().Any())
  21.           {
  22.               await _next(context);
  23.               return;
  24.           }
  26.           //默认JWT。JWT失败，执行自定义认证
  27.           var result = await Authenticate_JwtAsync(context);
  28.           if (!result.Succeeded)
  29.               result = await Authenticate_CustomTokenAsync(context);
  31.           // 设置认证票据到HttpContext中
  32.           if (result.Succeeded)
  33.               context.User = result.Principal;
  35.           await _next(context);
  36.       }
  37.       /// <summary>
  38.       /// JWT的认证
  39.       /// </summary>
  40.       /// <param name="context"></param>
  41.       /// <returns></returns>
  42.       private async Task<dynamic> Authenticate_JwtAsync(HttpContext context)
  43.       {
  44.           var verify = context.User?.Identity?.IsAuthenticated ?? false;
  45.           string authenticationType = context.User.Identity.AuthenticationType;
  46.           if (verify && authenticationType != null)
  47.           {
  48.               return new { Succeeded = verify, Principal = context.User, Message = "" };
  49.           }
  51.           await Task.CompletedTask;
  53.           // 找不到JWT身份验证方案，或者无法获取处理程序。
  54.           return new { Succeeded = false, Principal = new ClaimsPrincipal { }, Message = "JWT authentication scheme not found or handler could not be obtained." };
  55.       }
  57.       /// <summary>
  58.       /// 自定义认证
  59.       /// </summary>
  60.       /// <param name="context"></param>
  61.       /// <returns></returns>
  62.       private async Task<dynamic> Authenticate_CustomTokenAsync(HttpContext context)
  63.       {
  64.           // 自定义认证方案的名称
  65.           var customScheme = "CustomAuthenticationHandler";
  67.           var fixedTokenHandler = await context.RequestServices.GetRequiredService<IAuthenticationHandlerProvider>().GetHandlerAsync(context, customScheme);
  68.           if (fixedTokenHandler != null)
  69.           {
  70.               var Res = await fixedTokenHandler.AuthenticateAsync();
  71.               return new { Res.Succeeded, Res.Principal, Res.Failure?.Message };
  72.           }
  74.           //找不到CustomAuthenticationHandler身份验证方案，或者无法获取处理程序。
  75.           return new { Succeeded = false, Principal = new ClaimsPrincipal { }, Message = "CustomAuthenticationHandler authentication scheme not found or handler could not be obtained." };
  77.       }
  78.   }
复制代码
方案二：通过[Authorize]标签的AuthenticationSchemes
因为中间件还要多维护一段中间件的代码，显得略微复杂，于是通过[Authorize(AuthenticationSchemes = "")]方式。
  1.      //使用特定身份认证   
  2.     //[Authorize(AuthenticationSchemes = CustomAuthenticationHandler.AuthenticationSchemeName)]
  3.     //任一身份认证
  4.     [Authorize(AuthenticationSchemes = $"{CustomAuthenticationHandler.AuthenticationSchemeName},{JwtBearerDefaults.AuthenticationScheme}")]
  5.     public class DataProcessingController : ControllerBase
  6.     {
  7.     }
复制代码
方案二：通过[Authorize]标签的policy
  如果还有其他身份认证，那不断增加AuthenticationSchemes拼接在Controller的头顶，显得不太好看，且要是多个Controller使用，也会导致维护麻烦，于是改用计谋方式。
  在Program.cs添加服务AddAuthorization。使用计谋的好处是增加易维护性。
  1.  //授权策略
  2. //Controller使用 policy 则采用指定的策略配置进行身份认证
  3. builder.Services.AddAuthorization(option =>
  4. {
  5.     option.AddPolicy(CustomPolicy.Policy_A, policy => policy
  6.             .RequireAuthenticatedUser()
  7.             .AddAuthenticationSchemes(CustomAuthenticationHandler.AuthenticationSchemeName, JwtBearerDefaults.AuthenticationScheme)
  8.             );
  10.     option.AddPolicy(CustomPolicy.Policy_B, policy => policy
  11.             .RequireAuthenticatedUser()
  12.             .AddAuthenticationSchemes(CustomAuthenticationHandler.AuthenticationSchemeName)
  13.             );
  15.     option.AddPolicy(CustomPolicy.Policy_C, policy => policy
  16.             .RequireAuthenticatedUser()
  17.             .AddAuthenticationSchemes(JwtBearerDefaults.AuthenticationScheme)
  18.             );
  19. });
复制代码
  1.      //使用特定策略身份认证
  2.     [Authorize(policy:CustomPolicy.Policy_B)]
  3.     public class DataProcessingController : ControllerBase
  4.     {
  5.     }
复制代码
  1.      /// <summary>
  2.     /// 策略类
  3.     /// </summary>
  4.     public static class CustomPolicy
  5.     {
  6.         public const string Policy_A= "Policy_A";
  8.         public const string Policy_B = "Policy_B";
  10.         public const string Policy_C = "Policy_C";
  11.     }
复制代码
 最后附上截图：
添加服务：

使用中间件：

控制器：

如许，整套中继系统就能完善的满足Leader的需求，且到达预期效果。
源码Demo：https://gitee.com/LaoPaoE/project-demo.git
最后附上：
AuthorizeAttribute 同时使用 Policy 和 AuthenticationSchemes 和 Roles 时是怎么鉴权的流程：

  • AuthenticationSchemes鉴权：

    • AuthenticationSchemes 属性指定了用于验证用户身份的认证方案（如Cookies、Bearer Tokens等）。
    • ASP.NET Core会根据这些认证方案对用户进行身份验证。如果用户未通过身份验证（即未登录或未提供有效的认证信息），则请求会被拒绝，并可能重定向到登录页面。

  • Roles鉴权（如果指定了Roles）：

    • 如果AuthorizeAttribute中还指定了 Roles 属性，那么除了通过身份验证外，用户还必须属于这些脚色之一。
    • ASP.NET Core会检查用户的脚色信息，以确定用户是否属于 Roles  属性中指定的一个或多个脚色。

  • Policy鉴权（如果指定了Policy）：

    • Policy 属性指定了一个或多个授权计谋，这些计谋定义了用户必须满足的额外条件才气访问资源。
    • ASP.NET Core会调用相应的 IAuthorizationHandler 来评估用户是否满足该计谋中的所有要求。这些要求可以基于脚色、声明（Claims）、资源等定义。
    • 如果用户不满足计谋中的任何要求，则授权失败，并返回一个HTTP 403 Forbidden响应。

鉴权顺序和组合

  • 通常，AuthenticationSchemes的验证会起首进行，因为这是访问任何受掩护资源的前提。
  • 如果AuthenticationSchemes验证通过，接下来会根据是否指定了Roles和Policy来进一步进行鉴权。
  • Roles和Policy的鉴权顺序可能因ASP.NET Core的具体版本和配置而异，但一般来说，它们会作为独立的条件进行评估。
  • 用户必须同时满足AuthenticationSchemes、Roles（如果指定）和Policy（如果指定）中的所有条件，才气成功访问受掩护的资源。
留意事项

  • 在某些情况下，纵然AuthenticationSchemes和Roles验证都通过，但如果Policy中的要求未得到满足，用户仍然无法访问资源。
  • 可以通过自定义 IAuthorizationRequirement 和 IAuthorizationHandler 来实现复杂的授权逻辑，以满足特定的业务需求。
  • 确保在应用程序的身份验证和授权配置中正确设置了AuthenticationSchemes、Roles和Policy，以便它们能够协同工作，提供有效的访问控制。

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有账号？立即注册

x
回复

使用道具 举报

0 个回复

正序浏览
返回列表

快速回复

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 or 立即注册

本版积分规则

罪恶克星

金牌会员
这个人很懒什么都没写!

楼主热帖

标签云

挺好的 服务器
微信订阅号
微信服务号
微信客服
小程序
H5
关于我们 商务合作 网站地图
©Copyright 2022-2024 杭州祥升科技有限公司 版权所有 浙ICP备20004199号
快速回复 返回顶部 返回列表