Jak mogę uzyskać roszczenia zawarte w moim AuthTicket w usłudze uwierzytelniania Web API?

Question

mam API Web z usługą auth, dla klienta WPF skonfigurować tak:

public static class WebApiConfig 
{ 
    public static void Register(HttpConfiguration config) 
    { 
     config.SuppressDefaultHostAuthentication(); 
     config.Filters.Add(new HostAuthenticationFilter(OAuthDefaults.AuthenticationType)); 
     ... 
    } 
} 

i

public partial class Startup 
{ 
    public void ConfigureAuth(IAppBuilder app) 
    { 
     ... 
     OAuthOptions = new OAuthAuthorizationServerOptions 
     { 
      TokenEndpointPath = new PathString("/Token"), 
      Provider = new ApplicationOAuthProvider(PublicClientId), 
      ApplicationCanDisplayErrors = true, 
      AuthorizeEndpointPath = new PathString("/api/Account/ExternalLogin"), 
      AccessTokenExpireTimeSpan = TimeSpan.FromDays(14), 
      AllowInsecureHttp = true, // TODO Make false to deploy 
     }; 
     app.UseOAuthAuthorizationServer(OAuthOptions); 
    } 
} 

ja tylko kiedykolwiek użyć końcowego /Token tak daleko, bo w najmniej daje mi token na okaziciela. Bilet otrzymany po udanym uwierzytelnieniu ma daty wydania i wygaśnięcia, token na okaziciela i moją nazwę użytkownika.

Jak uzyskać roszczenia użytkownika (a może role)? Czy jest coś, co mogę tutaj zrobić, czy też robię to w ukryciu i żądam ich za pośrednictwem interfejsu API, po uwierzytelnieniu, i agreguję je i Auth Ticket w coś w rodzaju obiektu Principal dla klienta WPF?

Czy mógłbym dołączyć niektóre elementy tożsamości w aplikacji WPF, aby pomóc w wyodrębnieniu roszczeń z tokena i sugestii, w jaki sposób powinienem to zrobić?

Answer 1

Myślę, że to dość niebezpieczne, aby umożliwić klientowi odszyfrowanie tokena. Jeśli mogą to zrobić, złośliwy aktor może zmodyfikować token i roszczenia wewnątrz. Jeśli nie sprawdzasz ważności roszczeń (być może dlatego, że są one dostarczane przez stronę trzecią), może to prowadzić do eskalacji uprawnień i złamania zabezpieczeń Twojej aplikacji.

Jeśli aplikacja kliencka wymaga roszczeń - być może w przypadku układu interfejsu użytkownika, możesz podać je osobno tokenowi. Jednym ze sposobów, aby to zrobić, to poprzez ActionFilterAttribute napisać roszczenia do niestandardowego nagłówka http. Jeśli w tym miejscu zostaną naruszone roszczenia, dotyczy to tylko klienta, ponieważ sprawdzisz bezpieczne roszczenia wewnątrz tokena przed przetworzeniem żądania.

public AddClaimsAttribute : System.Web.Http.Filters.ActionFilterAttribute 
{ 
    var principal = actionExecutedContext.ActionContext.RequestContext.Principal as ClaimsPrincipal; 

    if (principal != null) 
    { 
     var claims = principal.Claims.Select(x => x.Type + ":" + x.Value).ToList(); 

     actionExecutedContext.Response.Content.Headers.Add("Claims", 
      String.Join(",", claims)); 
    } 

} 

Twój klient musi tylko sprawdzić ten nagłówek i przeanalizować go.

Jest to prosty przykład, można sformatować go jako JSON lub dodać szereg niestandardowych nagłówków „IsAdmin”, „IsEditingUser” itd

Ponieważ jest filtrem, można zastosować ten globalnie do każdego wniosku , do każdego działania na kontrolerze lub do określonej akcji, gdy jej potrzebujesz.

Answer 2

Możesz to łatwo osiągnąć, dodając role użytkownika do odpowiedzi na tokena. W tym celu trzeba aktualizować w klasie ApplicationOAuthProvider.cs się CreateProperties metoda

 public static AuthenticationProperties CreateProperties(User user) 
      { 
//get only roles ids 
//to do: retrieve user roles names 
       var roles = string.Join(",", user.Roles.Select(t => t.RoleId).ToArray()); 
//expose phone in response 
       var phone = user.PhoneNumber; 
       IDictionary<string, string> data = new Dictionary<string, string> 
       { 
        { "userName", user.UserName }, 
        { "userId", user.Id }, 
        { "roles", roles}, 
        { "phone", phone} 
       }; 
       return new AuthenticationProperties(data); 
      } 

można zobaczyć w listonosz odpowiedź 3 nowe właściwości: userid, ról i telefon. Aby dodawać nowe właściwości, należy używać wartości pustych.