看到园子里面有人写的OAuth,就想把自己实现的OAuth也分享一下,关于OAuth协议这里就不再赘述。

一、作为认证服务器,首先需要提供一个可以通过appid/appsecret来获取token这样的一个接口,于是便有了以下代码。

    public class AuthController : ApiController
{
[HttpGet]
public HttpResponseMessage Token(string appid = "", string appsecret = "")
{
ApiResponseEntity rep;
var isv = AppManage.Instance.GetAppISV(appid, appsecret);
if (isv != null)
{
string token = TokenManage.Instance.CreateToken(appid); rep = new ApiResponseEntity
{
Status = InterfaceStatus.Success,
BizData = new
{
AccessToken = token
}
};
}
else
{
rep = new ApiResponseEntity()
{
Status = InterfaceStatus.Parm_Missing,
Message = "param error"
};
}
return rep.ToHttpResponseMessage();
}
}

创建token的算法可以自行实现,我是将新生成的Guid做了一下md5处理,代码如下:

public string CreateToken(string appid)
{
string token = Guid.NewGuid().ToString().ToMd5();
Set(token, appid);
return token;
}

上文可以看到,在生成token了以后,就一个SetToken,就是将token存储在缓存里面,并设置了一定时间的生存周期,代码如下:

public void Set(string token, string appid)
{
var config = ServerConfigManage.Instance.GetServerConfig();
string key = string.Format(RedisCacheKey.App_Token, token);
RedisNetHelper.Set<string>(key, appid, DateTime.Now.AddSeconds(config.TokenSurvivalTime));
}

为什么要用token做key,是因为token的变更会导致isv token验证失效,但是用token做key就可以在存活周期内,这个key都可以使用,避免了多线程获取token,或是其他原因导致的token失效。作为认证服务器,还需要提供一个RefreshToken这样的接口,用来给刷新token的存活周期,代码相似这里就不再赘述。

二、在Api做验证的时候,就需要开始对Token进行验证了,代码如下:

 public class OAuthHandler : DelegatingHandler
{
protected override Task<HttpResponseMessage> SendAsync(HttpRequestMessage request, System.Threading.CancellationToken cancellationToken)
{
ApiResponseEntity repEntity = null;
string appid = "";
string ip = RequestHelper.GetWebClientIp();
if (!OAuthValidate.IpValidate(ip))
{
repEntity = new ApiResponseEntity
{
Status = InterfaceStatus.IllegalIp,
Message = "ip access limit"
};
}
else
{
string token = "";
string url = request.RequestUri.AbsoluteUri;
var routeData = request.GetRouteData();
string controller = routeData.Values["controller"].ToString().ToLower();
string action = routeData.Values["action"].ToString().ToLower();
if (controller.Equals("auth") && action.Equals("token"))
{
return base.SendAsync(request, cancellationToken);
} if (request.Method == HttpMethod.Get)
{
var query = request.RequestUri.ParseQueryString();
token = query["token"];
} if (token == null || token.Length == )
{
repEntity = new ApiResponseEntity
{
Status = InterfaceStatus.Token_Faild,
Message = "token invalid"
};
}
else
{
appid = TokenManage.Instance.Get(token);
if (appid == null || appid.Length == )
{
repEntity = new ApiResponseEntity
{
Status = InterfaceStatus.Token_Faild,
Message = "token invalid"
};
}
else
{
if (!OAuthValidate.ApiValidate
(
string.Format("{0}/{1}", controller, action),
appid
))
{
repEntity = new ApiResponseEntity
{
Status = InterfaceStatus.No_Access,
Message = "api access limit"
};
}
}
}
} if (repEntity != null)
{
var tsc = new TaskCompletionSource<HttpResponseMessage>();
tsc.SetResult(repEntity.ToHttpResponseMessage());
return tsc.Task;
}
else
{
return base.SendAsync(request, cancellationToken);
}
}
}

使用比较传统的方式,继承于DelegatingHandler,然后进行处理,首先是做的IP验证,然后再进行token有效期验证,最后再进行Api的权限调用验证。验证的代码如下:

 public static bool IpValidate(string ip)
{
var config = ServerConfigManage.Instance.GetServerConfig();
bool isPass = true;
if (isPass && config.IsStartIpWhiteList)
{
isPass = config.IpWhiteList.Contains(ip);
}
if (isPass && config.IsStartIpBlackList)
{
isPass = !config.IpBlackList.Contains(ip);
}
return isPass;
} public static bool ApiValidate(string api, string appid)
{
var config = ServerConfigManage.Instance.GetServerConfig();
if (config.IsStartApiControl)
{
var apis = AppManage.Instance.GetAppApiResource(appid);
return apis != null && apis.Contains(api);
}
return true;
}

GetServerConfig()是从DB/Cache里面获取服务器的自定义配置,然后看是否开启ip白名单/黑名单,下面的代码同理,是否开启权限验证。

那认证服务器到这里实际上就结束了,关于isv申请appid/appsecret。然后用户同意授权以后,存储appid和user之间的关联关系,就需要看客自行实现了。

另外有一个扩展代码这里也提一下,就是关于ApiResponseEntity的返回值处理,代码如下:

public static HttpResponseMessage ToHttpResponseMessage(this ResponseEntity rep, bool isEncrypt = false)
{
return new HttpResponseMessage(HttpStatusCode.OK)
{
Content = new StringContent
(
isEncrypt
? EncryptHelper.Base64Replace(EncryptHelper.AESEncryptBase64(JsonHelper.ToJson(rep), Config.ApiEncryptKey))
: JsonHelper.ToJson(rep),
System.Text.Encoding.UTF8,
"application/json"
)
};
}

自己开发实现OAuth做webapi认证的更多相关文章

  1. OAuth做webapi认证

    OAuth做webapi认证 看到园子里面有人写的OAuth,就想把自己实现的OAuth也分享一下,关于OAuth协议这里就不再赘述. 一.作为认证服务器,首先需要提供一个可以通过appid/apps ...

  2. Nodejs之MEAN栈开发(八)---- 用户认证与会话管理详解

    用户认证与会话管理基本上是每个网站必备的一个功能.在Asp.net下做的比较多,大体的思路都是先根据用户提供的用户名和密码到数据库找到用户信息,然后校验,校验成功之后记住用户的姓名和相关信息,这个信息 ...

  3. 使用OAuth打造webapi认证服务供自己的客户端使用

    一.什么是OAuth OAuth是一个关于授权(Authorization)的开放网络标准,目前的版本是2.0版.注意是Authorization(授权),而不是Authentication(认证). ...

  4. OAuth在WebApi中的使用,前后台分离的调用方式

    前段时间由于公司架构服务层向WebApi转换,就研究了OAuth在WebApi中的使用,这中间遇到了很多坑,在此记录一下OAuth的正确使用方式. 1.  OAuth是做什么的? 在网上浏览时,大家都 ...

  5. OAuth在WebApi

    OAuth在WebApi中的使用,前后台分离的调用方式 前段时间由于公司架构服务层向WebApi转换,就研究了OAuth在WebApi中的使用,这中间遇到了很多坑,在此记录一下OAuth的正确使用方式 ...

  6. OAuth打造webapi认证服务

    使用OAuth打造webapi认证服务供自己的客户端使用 一.什么是OAuth OAuth是一个关于授权(Authorization)的开放网络标准,目前的版本是2.0版.注意是Authorizati ...

  7. 使用OAuth打造webapi认证服务供自己的客户端使用(二)

    在上一篇”使用OAuth打造webapi认证服务供自己的客户端使用“的文章中我们实现了一个采用了OAuth流程3-密码模式(resource owner password credentials)的W ...

  8. ASP.NET Core 认证与授权[3]:OAuth & OpenID Connect认证

    在上一章中,我们了解到,Cookie认证是一种本地认证方式,通常认证与授权都在同一个服务中,也可以使用Cookie共享的方式分开部署,但局限性较大,而如今随着微服务的流行,更加偏向于将以前的单体应用拆 ...

  9. Taurus.MVC WebAPI 入门开发教程8:WebAPI文档与自动化测试。

    系列目录 1.Taurus.MVC WebAPI  入门开发教程1:框架下载环境配置与运行. 2.Taurus.MVC WebAPI 入门开发教程2:添加控制器输出Hello World. 3.Tau ...

随机推荐

  1. excel 日期/数字格式不生效需要但双击才会生效的解决办法

    原因: Excel2007设置过单元格格式后,并不能立即生效必须挨个双击单元格,才能生效.数据行很多.效率太低. 原因:主要是一些从网上拷贝过来的日期或数字excel默认为文本格式或特殊-中文数字格式 ...

  2. 神马玩意,EntityFramework Core 1.1又更新了?走,赶紧去围观

    前言 哦,不搞SQL了么,当然会继续,周末会继续更新,估计写完还得几十篇,但是我会坚持把SQL更新完毕,绝不会烂尾,后续很长一段时间没更新的话,不要想我,那说明我是学习新的技能去了,那就是学习英语,本 ...

  3. 【开源】.Net Api开放接口文档网站

    开源地址:http://git.oschina.net/chejiangyi/ApiView 开源QQ群: .net 开源基础服务  238543768 ApiView .net api的接口文档查看 ...

  4. [开发笔记]yum错误

    yum 错误TypeError: rpmdb open failed 解决办法 是因为RPM数据库出现损坏导致的,它导致所有的软件的升级.安装甚至是删除都会出现问题,终端出现乱码,YUMEX也用不成, ...

  5. 6.在MVC中使用泛型仓储模式和依赖注入实现增删查改

    原文链接:http://www.c-sharpcorner.com/UploadFile/3d39b4/crud-operations-using-the-generic-repository-pat ...

  6. [算法]——归并排序(Merge Sort)

    归并排序(Merge Sort)与快速排序思想类似:将待排序数据分成两部分,继续将两个子部分进行递归的归并排序:然后将已经有序的两个子部分进行合并,最终完成排序.其时间复杂度与快速排序均为O(nlog ...

  7. ThinkPHP 模板substr的截取字符串函数

    ThinkPHP 模板substr的截取字符串函数在Common/function.php加上以下代码 /** ** 截取中文字符串 **/ function msubstr($str, $start ...

  8. 使用Microsoft的IoC框架:Unity来对.NET应用进行解耦

    1.IoC/DI简介 IoC 即 Inversion of Control,DI 即 Dependency Injection,前一个中文含义为控制反转,后一个译为依赖注入,可以理解成一种编程模式,详 ...

  9. Angular2 Hello World 之 2.0.0-beta.14

    公司现在采用angualrjs开发一些web应用,采用的是angular1,现在angular2已经差不多了,听说最近rc6已经出来了……其实感觉好慢啊!之前也做过一些anglar2的例子,但是没有记 ...

  10. Android(安卓)-------CardView

    1.activity_main.xml <android.support.v7.widget.CardView android:id="@+id/cardView" andr ...