自己开发实现OAuth做webapi认证
看到园子里面有人写的OAuth,就想把自己实现的OAuth也分享一下,关于OAuth协议这里就不再赘述。
一、作为认证服务器,首先需要提供一个可以通过appid/appsecret来获取token这样的一个接口,于是便有了以下代码。
public class AuthController : ApiController
{
[HttpGet]
public HttpResponseMessage Token(string appid = "", string appsecret = "")
{
ApiResponseEntity rep;
var isv = AppManage.Instance.GetAppISV(appid, appsecret);
if (isv != null)
{
string token = TokenManage.Instance.CreateToken(appid); rep = new ApiResponseEntity
{
Status = InterfaceStatus.Success,
BizData = new
{
AccessToken = token
}
};
}
else
{
rep = new ApiResponseEntity()
{
Status = InterfaceStatus.Parm_Missing,
Message = "param error"
};
}
return rep.ToHttpResponseMessage();
}
}
创建token的算法可以自行实现,我是将新生成的Guid做了一下md5处理,代码如下:
public string CreateToken(string appid)
{
string token = Guid.NewGuid().ToString().ToMd5();
Set(token, appid);
return token;
}
上文可以看到,在生成token了以后,就一个SetToken,就是将token存储在缓存里面,并设置了一定时间的生存周期,代码如下:
public void Set(string token, string appid)
{
var config = ServerConfigManage.Instance.GetServerConfig();
string key = string.Format(RedisCacheKey.App_Token, token);
RedisNetHelper.Set<string>(key, appid, DateTime.Now.AddSeconds(config.TokenSurvivalTime));
}
为什么要用token做key,是因为token的变更会导致isv token验证失效,但是用token做key就可以在存活周期内,这个key都可以使用,避免了多线程获取token,或是其他原因导致的token失效。作为认证服务器,还需要提供一个RefreshToken这样的接口,用来给刷新token的存活周期,代码相似这里就不再赘述。
二、在Api做验证的时候,就需要开始对Token进行验证了,代码如下:
public class OAuthHandler : DelegatingHandler
{
protected override Task<HttpResponseMessage> SendAsync(HttpRequestMessage request, System.Threading.CancellationToken cancellationToken)
{
ApiResponseEntity repEntity = null;
string appid = "";
string ip = RequestHelper.GetWebClientIp();
if (!OAuthValidate.IpValidate(ip))
{
repEntity = new ApiResponseEntity
{
Status = InterfaceStatus.IllegalIp,
Message = "ip access limit"
};
}
else
{
string token = "";
string url = request.RequestUri.AbsoluteUri;
var routeData = request.GetRouteData();
string controller = routeData.Values["controller"].ToString().ToLower();
string action = routeData.Values["action"].ToString().ToLower();
if (controller.Equals("auth") && action.Equals("token"))
{
return base.SendAsync(request, cancellationToken);
} if (request.Method == HttpMethod.Get)
{
var query = request.RequestUri.ParseQueryString();
token = query["token"];
} if (token == null || token.Length == )
{
repEntity = new ApiResponseEntity
{
Status = InterfaceStatus.Token_Faild,
Message = "token invalid"
};
}
else
{
appid = TokenManage.Instance.Get(token);
if (appid == null || appid.Length == )
{
repEntity = new ApiResponseEntity
{
Status = InterfaceStatus.Token_Faild,
Message = "token invalid"
};
}
else
{
if (!OAuthValidate.ApiValidate
(
string.Format("{0}/{1}", controller, action),
appid
))
{
repEntity = new ApiResponseEntity
{
Status = InterfaceStatus.No_Access,
Message = "api access limit"
};
}
}
}
} if (repEntity != null)
{
var tsc = new TaskCompletionSource<HttpResponseMessage>();
tsc.SetResult(repEntity.ToHttpResponseMessage());
return tsc.Task;
}
else
{
return base.SendAsync(request, cancellationToken);
}
}
}
使用比较传统的方式,继承于DelegatingHandler,然后进行处理,首先是做的IP验证,然后再进行token有效期验证,最后再进行Api的权限调用验证。验证的代码如下:
public static bool IpValidate(string ip)
{
var config = ServerConfigManage.Instance.GetServerConfig();
bool isPass = true;
if (isPass && config.IsStartIpWhiteList)
{
isPass = config.IpWhiteList.Contains(ip);
}
if (isPass && config.IsStartIpBlackList)
{
isPass = !config.IpBlackList.Contains(ip);
}
return isPass;
} public static bool ApiValidate(string api, string appid)
{
var config = ServerConfigManage.Instance.GetServerConfig();
if (config.IsStartApiControl)
{
var apis = AppManage.Instance.GetAppApiResource(appid);
return apis != null && apis.Contains(api);
}
return true;
}
GetServerConfig()是从DB/Cache里面获取服务器的自定义配置,然后看是否开启ip白名单/黑名单,下面的代码同理,是否开启权限验证。
那认证服务器到这里实际上就结束了,关于isv申请appid/appsecret。然后用户同意授权以后,存储appid和user之间的关联关系,就需要看客自行实现了。
另外有一个扩展代码这里也提一下,就是关于ApiResponseEntity的返回值处理,代码如下:
public static HttpResponseMessage ToHttpResponseMessage(this ResponseEntity rep, bool isEncrypt = false)
{
return new HttpResponseMessage(HttpStatusCode.OK)
{
Content = new StringContent
(
isEncrypt
? EncryptHelper.Base64Replace(EncryptHelper.AESEncryptBase64(JsonHelper.ToJson(rep), Config.ApiEncryptKey))
: JsonHelper.ToJson(rep),
System.Text.Encoding.UTF8,
"application/json"
)
};
}
自己开发实现OAuth做webapi认证的更多相关文章
- OAuth做webapi认证
OAuth做webapi认证 看到园子里面有人写的OAuth,就想把自己实现的OAuth也分享一下,关于OAuth协议这里就不再赘述. 一.作为认证服务器,首先需要提供一个可以通过appid/apps ...
- Nodejs之MEAN栈开发(八)---- 用户认证与会话管理详解
用户认证与会话管理基本上是每个网站必备的一个功能.在Asp.net下做的比较多,大体的思路都是先根据用户提供的用户名和密码到数据库找到用户信息,然后校验,校验成功之后记住用户的姓名和相关信息,这个信息 ...
- 使用OAuth打造webapi认证服务供自己的客户端使用
一.什么是OAuth OAuth是一个关于授权(Authorization)的开放网络标准,目前的版本是2.0版.注意是Authorization(授权),而不是Authentication(认证). ...
- OAuth在WebApi中的使用,前后台分离的调用方式
前段时间由于公司架构服务层向WebApi转换,就研究了OAuth在WebApi中的使用,这中间遇到了很多坑,在此记录一下OAuth的正确使用方式. 1. OAuth是做什么的? 在网上浏览时,大家都 ...
- OAuth在WebApi
OAuth在WebApi中的使用,前后台分离的调用方式 前段时间由于公司架构服务层向WebApi转换,就研究了OAuth在WebApi中的使用,这中间遇到了很多坑,在此记录一下OAuth的正确使用方式 ...
- OAuth打造webapi认证服务
使用OAuth打造webapi认证服务供自己的客户端使用 一.什么是OAuth OAuth是一个关于授权(Authorization)的开放网络标准,目前的版本是2.0版.注意是Authorizati ...
- 使用OAuth打造webapi认证服务供自己的客户端使用(二)
在上一篇”使用OAuth打造webapi认证服务供自己的客户端使用“的文章中我们实现了一个采用了OAuth流程3-密码模式(resource owner password credentials)的W ...
- ASP.NET Core 认证与授权[3]:OAuth & OpenID Connect认证
在上一章中,我们了解到,Cookie认证是一种本地认证方式,通常认证与授权都在同一个服务中,也可以使用Cookie共享的方式分开部署,但局限性较大,而如今随着微服务的流行,更加偏向于将以前的单体应用拆 ...
- Taurus.MVC WebAPI 入门开发教程8:WebAPI文档与自动化测试。
系列目录 1.Taurus.MVC WebAPI 入门开发教程1:框架下载环境配置与运行. 2.Taurus.MVC WebAPI 入门开发教程2:添加控制器输出Hello World. 3.Tau ...
随机推荐
- 通过adb方式给安卓手机截图的cmd批处理文件
@echo off rem 通过adb方式截图rem 需要安装adb ,一般安装了android sdk 默认带了adb ,路径为sdk目录的android-sdk\platform-toolsr ...
- opencv中Mat与IplImage,CVMat类型之间转换
opencv中对图像的处理是最基本的操作,一般的图像类型为IplImage类型,但是当我们对图像进行处理的时候,多数都是对像素矩阵进行处理,所以这三个类型之间的转换会对我们的工作带来便利. Mat类型 ...
- jquery和Js的区别和基础操作
jqery的语法和js的语法一样,算是把js升级了一下,这两种语法可以一起使用,只不过是用jqery更加方便 一个页面想要使用jqery的话,先要引入一下jqery包,jqery包从网上下一个就可以, ...
- 无法向会话状态服务器发出会话状态请求。请确保 ASP.NET State Service (ASP.NET 状态服务)已启动,并且客户端端口与服务器端口相同。如果服务器位于远程计算机上,请检查。。。
异常处理汇总-服 务 器 http://www.cnblogs.com/dunitian/p/4522983.html 无法向会话状态服务器发出会话状态请求.请确保 ASP.NET State Ser ...
- 个人网站对xss跨站脚本攻击(重点是富文本编辑器情况)和sql注入攻击的防范
昨天本博客受到了xss跨站脚本注入攻击,3分钟攻陷--其实攻击者进攻的手法很简单,没啥技术含量.只能感叹自己之前竟然完全没防范. 这是数据库里留下的一些记录.最后那人弄了一个无限循环弹出框的脚本,估计 ...
- ASP.NET MVC——模型绑定
这篇文章我们来讲讲模型绑定(Model Binding),其实在初步了解ASP.NET MVC之后,大家可能都会产生一个疑问,为什么URL片段最后会转换为例如int型或者其他类型的参数呢?这里就不得不 ...
- iOS app内存分析套路
iOS app内存分析套路 Xcode下查看app内存使用情况有2中方法: Navigator导航栏中的Debug navigator中的Memory Instruments 一.Debug navi ...
- php+websocket搭建简易聊天室实践
1.前言 公司游戏里面有个简单的聊天室,了解了之后才知道是node+websocket做的,想想php也来做个简单的聊天室.于是搜集各种资料看文档.找实例自己也写了个简单的聊天室. http连接分为短 ...
- Linux监控工具介绍系列——vmstat
说来惭愧,玩Linux这么久了,居然没有玩转vmstat这个命令,对很多指标的具体意义都有点模糊不清,花了点时间好好学习.整理一下这个命令的相关资料.因为这个命令确实比较重要,而且频繁用到. 命令 ...
- 嵌入式C语言代码的调试技巧
在项目开发的过程中,不可避免的会遇到调试代码的情况. 刚开始写代码时,我们想看具体执行到哪儿时,往往这么写: printf("***** Code is here! *****\n" ...