DotNetOpenAuth Part 1 : Authorization 验证服务实现及关键源码解析

DotNetOpenAuth 是 .Net 环境下OAuth 开源实现框架。基于此，可以方便的实现 OAuth 验证（Authorization）服务、资源（Resource）服务。针对 DotNetOpenAuth，近期打算整理出三篇随笔：

　　DotNetOpenAuth Part 1 : OAuth2 Authorization 验证服务实现及关键源码解析

　　DotNetOpenAuth Part 2 : OAuth2 Resource 资源服务实现及关键源码解析

　　DotNetOpenAuth Part 3 : OAuth2 Client 访问实现几关键源码解析

本篇是这一系列的 Part 1。

OAuth Authorization 服务负责为用户下发 Access Token，而后用户用这一 Token 去请求资源和逻辑访问。Client 端发送来附带 ClientId 和 ClientSecret 的 request，Authorization 端验证请求的合法性，生成 Access Token 并下发，这就是OAuth 验证服务的主要职责。

【实现层面】

基于 DotNetOpenAuth 开发 Authorization 服务的主要工作是实现 IAuthorizationServerHost 接口，而其中关键要实现的方法有两个，它们分别是 GetClient 和 CreateAccessToken。

IClientDescription GetClient(string clientIdentifier);

由 Client 端发送来的标示 clientIdentifier 获取该 Client 在验证服务端的详细信息，以备做 ClientSecret 比对验证。这里 ClientDescription 的来源可以是验证服务端DB，也可以是其他可提供该数据的外部服务。

AccessTokenResult CreateAccessToken(IAccessTokenRequest accessTokenRequestMessage);

 基于策略，生成 AccessToken，并返回给请求验证的 Client。

方法实现示意

GetClient,

 public IClientDescription GetClient(string clientIdentifier)
 {
     if (string.Equals(clientIdentifier, "iSun", StringComparison.CurrentCulture))
     {
         var client = new Client()       // Just initiate a Client instance, and in production it comes from DB or other service.
         {
             Name = "iSun",
             ClientSecret = "",
             ClientTypeValue =
         };

         return client;
     }

     throw new ArgumentOutOfRangeException("clientIdentifier");
 }

CreateAccessToken,

 public AccessTokenResult CreateAccessToken(IAccessTokenRequest accessTokenRequestMessage)
 {
     var accessToken = new AuthorizationServerAccessToken();

     accessToken.Lifetime = TimeSpan.FromMinutes();
     accessToken.ResourceServerEncryptionKey = ... ...
     accessToken.AccessTokenSigningKey = ... ...

     var result = new AccessTokenResult(accessToken);
     return result;
 }

实现了 IAuthorizationServerHost 接口下的两个关键方法，下面要做的仅仅是使用该 AuthorizationServerHost 实例初始化 AuthorizationServer 类，并调用其 HandleTokenRequestAsync 方法。

 private readonly AuthorizationServer authorizationServer = new AuthorizationServer(new iSunAuthorizationServerHost(AuthService.Configuration));

 public async Task<ActionResult> Token()
 {
     var response = await authorizationServer.HandleTokenRequestAsync(Request);
     return response.AsActionResult();
 }

【原理层面】

实现层面的介绍就是这些，是不是很简单？但仅知道这些显然不够，你始终还是不明 ... 但觉厉。DotNetOpenAuth Authorization 框架如何做到仅这两个方法就实现了验证服务呢？好在 DotNetOpenAuth 是开源项目，我们研究一下源码就会豁然开朗。先上一张 Authorization 内部调用的示意图（点击打开大图）。

如图所示，调用始自 AuthorizationServer.HandleTokenRequestAsync，后依次经步骤1 - 9，终于 AuthorizationServerHost.CreateAccessToken 调用。其中步骤7、8、9是整个 Token 下发过程中的关键方法调用。Step 7 GetClient 获取 request 端的详细信息，之后Step 8 IsValidClientSecret 验证 ClientSecret 合法性，若验证通过则Step 9 CreateAccessToken 并下发予请求的 Client 端。逻辑示意图如下（点击打开大图）。

关键步骤7、8、9源码片段如下：

调用 GetClient，并进行 ClientSecret Validation（DotNetOpenAuth.OAuth2.ChannelElements.ClientAuthenticationModule 中 TryAuthenticateClientBySecret 方法）。

 protected static ClientAuthenticationResult TryAuthenticateClientBySecret(IAuthorizationServerHost authorizationServerHost,
     string clientIdentifier, string clientSecret) {
     Requires.NotNull(authorizationServerHost, "authorizationServerHost");

     if (!string.IsNullOrEmpty(clientIdentifier)) {
         var client = authorizationServerHost.GetClient(clientIdentifier);       // Step 7: GetClient returns IClientDescription
         if (client != null) {
             if (!string.IsNullOrEmpty(clientSecret)) {
                 if (client.IsValidClientSecret(clientSecret)) {                 // Step 8: Validate ClientSecret
                     return ClientAuthenticationResult.ClientAuthenticated;
                 } else { // invalid client secret
                     return ClientAuthenticationResult.ClientAuthenticationRejected;
                 }
             }
         }
     }
 }

ClientDescription.IsValidClientSecret 方法（DotNetOpenAuth.OAuth2.ClientDescription 中 IsValidClientSecret 方法）。

 public virtual bool IsValidClientSecret(string secret) {
     Requires.NotNullOrEmpty(secret, "secret");

     return MessagingUtilities.EqualsConstantTime(secret, this.secret);
 }

调用 CreateAccessToken 代码片段，若 Client 验证未通过，则返回 InvalidRequest（line 23）（DotNetOpenAuth.OAuth2.AuthorizationServer 中方法 HandleTokenRequestAsync）。

 AccessTokenRequestBase requestMessage = await this.Channel.TryReadFromRequestAsync<AccessTokenRequestBase>(request, cancellationToken);
 if (requestMessage != null) {
     // Step 9: Call AuthorizationServerHost.CreateAccessToken to generate Token
     var accessTokenResult = this.AuthorizationServerServices.CreateAccessToken(requestMessage);
     ErrorUtilities.VerifyHost(accessTokenResult != null, "IAuthorizationServerHost.CreateAccessToken must not return null.");

     IAccessTokenRequestInternal accessRequestInternal = requestMessage;
     accessRequestInternal.AccessTokenResult = accessTokenResult;

     var successResponseMessage = this.PrepareAccessTokenResponse(requestMessage, accessTokenResult.AllowRefreshToken);
     successResponseMessage.Lifetime = accessTokenResult.AccessToken.Lifetime;
     ......
     responseMessage = successResponseMessage;
 } else {
     // Validation failed, return error with InvalidRequest
     responseMessage = new AccessTokenFailedResponse() { Error = Protocol.AccessTokenRequestErrorCodes.InvalidRequest };
 }

【小结】

应用 DotNetOpenAuth 框架开发 OAuth 验证服务比较容易，但如果不了解其实现原理，开发过程中不免心虚，遇到问题也不能快速解决。所以，不仅知其然，知其所以然还是很重要的。（此篇所示代码多为示意用途，若想下载Demo，参考资料2处有详细代码，我在本篇就不贴出了。需要 DotNetOpenAuth 源码和 Sample 的，可前往官网 http://www.dotnetopenauth.net/）

---

参考资料：

1、[OAuth]基于DotNetOpenAuth实现Client Credentials Grant　　http://www.cnblogs.com/dudu/p/oauth-dotnetopenauth-client-credentials-grant.html

2、DotNetOpenAuth实践之搭建验证服务器　　http://www.cnblogs.com/idefav2010/p/DotNetOpenAuth.html

3、http://www.dotnetopenauth.net/