ASP.NET Core 使用Cookie验证身份
ASP.NET Core 1.x提供了通过Cookie 中间件将用户主体序列化为一个加密的Cookie,然后在后续请求中验证Cookie并重新创建主体,并将其分配给HttpContext.User
属性。如果您要提供自己的登录界面和用户数据库,可以使用作为独立功能的Cookie中间件。
ASP.NET Core 2.x的一个主要变化是不再存在Cookie中间件。取而代之的是在Startup.cs文件中的Configure
方法中的调用UseAuthentication
方法会添加设置HttpContext.User
属性的 AuthenticationMiddleware 中间件。
添加配置
ASP.NET Core 1.x
按下列步骤操作:
在您的项目中安装
Microsoft.AspNetCore.Authentication.Cookies
NuGet包。此包包含Cookie中间件。在Startup.cs文件中的
Configure
方法中添加下面的行,在app.UseMvc()
语句之前:
app.UseCookieAuthentication(new CookieAuthenticationOptions()
{
AccessDeniedPath = "/Account/Forbidden/",
AuthenticationScheme = "MyCookieAuthenticationScheme",
AutomaticAuthenticate = true,
AutomaticChallenge = true,
LoginPath = "/Account/Unauthorized/"
});
ASP.NET Core 2.x
按下列步骤操作:
如果不使用
Microsoft.AspNetCore.All
元包,则在您的项目中安装2.0版的Microsoft.AspNetCore.Authentication.Cookies
NuGet包。在Startup.cs文件中的
Configure
方法中调用UseAuthentication
方法:
app.UseAuthentication();
- 在Startup.cs文件中的
ConfigureServices
方法中调用AddAuthentication
和AddCookie
方法:
services.AddAuthentication("MyCookieAuthenticationScheme")
.AddCookie("MyCookieAuthenticationScheme", options => {
options.AccessDeniedPath = "/Account/Forbidden/";
options.LoginPath = "/Account/Unauthorized/";
});
上面的代码片段配置了以下部分或全部选项:
AccessDeniedPath
- 当用户尝试访问资源但没有通过任何授权策略时,这是请求会重定向的相对路径资源。AuthenticationScheme
- 这是一个已知的特定Cookie认证方案的值。当有多个Cookie验证实例,并且您想限制对一个实例的授权时,这就非常有用。AutomaticAuthenticate
- 此标识仅适用于ASP.NET Core 1.x。它表示Cookie身份验证应在每个请求上运行,并尝试验证和重建序列化主体。AutomaticChallenge
- 此标识仅适用于ASP.NET Core 1.x。这表示当授权失败时,1.x Cookie认证应将浏览器重定向到LoginPath
或AccessDeniedPath
。LoginPath
- 当用户尝试访问资源但尚未认证时,这是请求重定向的相对路径。
其它选项包括为Cookie认证创建的设置选项,身份验证的Cookie的名称,Cookie的域和Cookie各种安全属性。默认情况下,Cookie身份验证为其创建的任何Cookie使用适当的安全选项,例如:
- 设置HttpOnly标志以防止客户端JavaScript中访问Cookie
- 如果请求是通过HTTPS访问,则将Cookie限制为HTTPS
创建身份认证Cookie
要创建一个保存用户信息的cookie,您必须构建一个ClaimsPrincipal 保存您希望序列化到Cookie中的信息。
ASP.NET Core 1.x
await HttpContext.Authentication.SignInAsync("MyCookieAuthenticationScheme", principal);
ASP.NET Core 2.x
await HttpContext.SignInAsync("MyCookieAuthenticationScheme", principal);
这将创建一个加密的Cookie并将其添加到当前响应中。在调用SignInAsync
时,必须在配置中指定的AuthenticationScheme
。
顺便提一下,使用的加密方式是ASP.NET Core的Data Protection系统。如果您在多台机器上进行托管、负载平衡或使用Web集群,则需要配置Data Protection才能使用相同的密钥和应用程序标识符。
Signing out(登出)
要退出当前用户并删除其Cookie,请在控制器中调用以下方法:
ASP.NET Core 1.x
await HttpContext.Authentication.SignOutAsync("MyCookieAuthenticationScheme");
ASP.NET Core 2.x
await HttpContext.SignOutAsync("MyCookieAuthenticationScheme");
服务端变化反馈
警告: 一旦创建了认证的Cookie,它将成为唯一的身份来源。即使您在服务系统中禁用用户,Cookie身份验证也无法了解此信息,只要Cookie有效,用户仍可登录。
Cookie认证在其选项中提供了一系列事件。ValidateAsync()
事件可用于拦截和重写Cookie身份验证。
可以考虑在后端用户数据库中增加LastChanged
列。为了在数据库更改时使Cookie无效,您应该首先在创建Cookie时添加一个LastChanged
包含当前值的声明。数据库更改时,更新LastChanged
例的值。
要重写ValidateAsync()
事件的实现,您必须编写一个具有以下签名的方法:
Task ValidateAsync(CookieValidatePrincipalContext context);
ASP.NET Core Identity 在SecurityStampValidator
实现了这一逻辑,链接地址。示例如下所示:
ASP.NET Core 1.x
public static class LastChangedValidator
{
public static async Task ValidateAsync(CookieValidatePrincipalContext context)
{
// Pull database from registered DI services.
var userRepository = context.HttpContext.RequestServices.GetRequiredService<IUserRepository>();
var userPrincipal = context.Principal;
// Look for the last changed claim.
string lastChanged;
lastChanged = (from c in userPrincipal.Claims
where c.Type == "LastUpdated"
select c.Value).FirstOrDefault();
if (string.IsNullOrEmpty(lastChanged) ||
!userRepository.ValidateLastChanged(userPrincipal, lastChanged))
{
context.RejectPrincipal();
await context.HttpContext.Authentication.SignOutAsync("MyCookieAuthenticationScheme");
}
}
}
然后,在Startup.cs文件中的Configure
方法中将Cokie认证配置进行重写:
app.UseCookieAuthentication(new CookieAuthenticationOptions
{
Events = new CookieAuthenticationEvents
{
OnValidatePrincipal = LastChangedValidator.ValidateAsync
}
});
ASP.NET Core 2.x
public static class LastChangedValidator
{
public static async Task ValidateAsync(CookieValidatePrincipalContext context)
{
// Pull database from registered DI services.
var userRepository = context.HttpContext.RequestServices.GetRequiredService<IUserRepository>();
var userPrincipal = context.Principal;
// Look for the last changed claim.
string lastChanged;
lastChanged = (from c in userPrincipal.Claims
where c.Type == "LastUpdated"
select c.Value).FirstOrDefault();
if (string.IsNullOrEmpty(lastChanged) ||
!userRepository.ValidateLastChanged(userPrincipal, lastChanged))
{
context.RejectPrincipal();
await context.HttpContext.SignOutAsync("MyCookieAuthenticationScheme");
}
}
}
然后,将在Startup.cs的ConfigureServices
方法中将Cookie服务注册进行配置:
services.AddAuthentication("MyCookieAuthenticationScheme")
.AddCookie(options =>
{
options.Events = new CookieAuthenticationEvents
{
OnValidatePrincipal = LastChangedValidator.ValidateAsync
};
});
如果要非破坏性地更新用户主体,可以调用context.ReplacePrincipal()
,并将context.ShouldRenew
属性设置为true
。
Cookie设置选项
CookieAuthenticationOptions类提供了各种配置选项,在创建时调整Cookie的配置。
ASP.NET Core 1.x
ClaimsIssuer
是由中间件创建的任何声明时使用的Issuer属性。CookieDomain
是提供Cookie的域名。默认情况下,这是发送请求的主机名。浏览器仅将Cookie提供给匹配的主机名。您可能希望对此进行调整,以便您的域中的任何主机都可以使用Cookie。例如,将Cookie域名设置为.contoso.com
,可以使用Cookie的域名有contoso.com
、www.contoso.com
、staging.www.contoso.com
等。CookieHttpOnly
是一个标识,指定Cookie是否只能由服务器访问。默认为true
。如果您的应用程序具有Cross-Site Scripting(XSS)的问题,更改此值可能会导致Cookie被盗用。CookiePath
可用于隔离在相同主机名上运行的应用程序。如果你有一个应用程序在/app1
中运行,并希望限制发送的Cookie只发送到该应用程序,那么您应该将CookiePath
属性设置为/app1
。通过这样做,Cookie只适用于对/app1
或其下任何内容的请求。CookieSecure
是一个标识,表示创建的Cookie是否应该被限制为HTTPS,HTTP或HTTPS,或与请求相同的协议。默认为SameAsRequest
。ExpireTimeSpan
是TimeSpan
类型,在此时间段之后Cookie将过期。将当前日期加上此时间段为创建Cookie的到期日期。SlidingExpiration
是一个标识,指示当超过一半的ExpireTimeSpan
间隔时,Cookie到期日期是否复位。新的到期日是当前时间加上ExpireTimespan
。调用SignInAsync
时,可以使用AuthenticationProperties
类设置绝对到期时间。绝对到期时间可以通过限制认证Cookie有效的时间来提高应用程序的安全性。
在Startup.cs文件中的Configure
方法中使用CookieAuthenticationOptions
的例子如下:
app.UseCookieAuthentication(new CookieAuthenticationOptions
{
CookieName = "AuthCookie",
CookieDomain = "contoso.com",
CookiePath = "/",
CookieHttpOnly = true,
CookieSecure = CookieSecurePolicy.Always
});
ASP.NET Core 2.x
ASP.NET Core 2.x 统一了用于配置Cookie的API。1.x API已被标记为过时,并且在CookieAuthenticationOptions
类中引入了一种类型为CookieBuilder
新的Cookie
属性。建议您迁移到2.x API。
ClaimsIssuer
是由Cookie认证创建的任何声明时使用的Issuer属性。CookieBuilder.Domain
是提供Cookie的域名。默认情况下,这是发送请求的主机名。浏览器仅将Cookie提供给匹配的主机名。您可能希望对此进行调整,以便您的域中的任何主机都可以使用Cookie。例如,将Cookie域名设置为.contoso.com
,可以使用Cookie的域名有contoso.com
、www.contoso.com
、staging.www.contoso.com
等CookieBuilder.HttpOnly
是一个标识,指定Cookie是否只能由服务器访问。默认为true
。如果您的应用程序具有Cross-Site Scripting(XSS)的问题,更改此值可能会导致Cookie被盗用。CookieBuilder.Path
可用于隔离在相同主机名上运行的应用程序。如果你有一个应用程序在/app1
中运行,并希望限制发送的Cookie只发送到该应用程序,那么您应该将CookiePath
属性设置为/app1
。通过这样做,Cookie只适用于对/app1
或其下任何内容的请求。CookieBuilder.SameSite
表示浏览器是否允许Cookie被附加到同一站点或跨站点的请求。默认为SameSiteMode.Lax
。CookieBuilder.SecurePolicy
是一个标识,表示创建的Cookie是否应该被限制为HTTPS,HTTP或HTTPS,或与请求相同的协议。默认为SameAsRequest
。ExpireTimeSpan
是TimeSpan
类型,在此时间段之后Cookie将过期。将当前日期加上此时间段为创建Cookie的到期日期。SlidingExpiration
是一个标识,指示当超过一半的ExpireTimeSpan
间隔时,Cookie到期日期是否复位。新的到期日是当前时间加上ExpireTimespan
。调用SignInAsync
时,可以使用AuthenticationProperties
类设置绝对到期时间。绝对到期时间可以通过限制认证Cookie有效的时间来提高应用程序的安全性。
在Startup.cs的ConfigureServices
方法中使用CookieAuthenticationOptions
的例子如下:
services.AddAuthentication()
.AddCookie(options =>
{
options.Cookie.Name = "AuthCookie";
options.Cookie.Domain = "contoso.com";
options.Cookie.Path = "/";
options.Cookie.HttpOnly = true;
options.Cookie.SameSite = SameSiteMode.Lax;
options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
});
持久Cookie和绝对到期时间
您可能希望Cookie在浏览器会话中持续存在,并希望设置身份和Cookie传输的绝对过期时间。这种持久性应该只能是用户显示同意,在登录时的“记住我”复选框或类似的机制启用。您可以通过在创建身份认证Cookie时调用的SignInAsync
方法中使用AuthenticationProperties
参数来执行这些操作。例如:
ASP.NET Core 1.x
await HttpContext.Authentication.SignInAsync(
"MyCookieAuthenticationScheme",
principal,
new AuthenticationProperties
{
IsPersistent = true
});
上述代码片段中使用的AuthenticationProperties
类,位于Microsoft.AspNetCore.Http.Authentication
命名空间中。
ASP.NET Core 2.x
await HttpContext.SignInAsync(
"MyCookieAuthenticationScheme",
principal,
new AuthenticationProperties
{
IsPersistent = true
});
上述代码片段中使用的AuthenticationProperties
类,位于Microsoft.AspNetCore.Authentication
命名空间中。
上面的代码段创建一个身份和相应的Cookie,直到浏览器关闭。以前通过Cookie设置选项配置的任何滑动过期设置仍然有效。如果Cookie在浏览器关闭时过期,浏览器会在重新启动后清除它。如果Cookie在浏览器关闭时过期,浏览器会在重新启动后清除它。
ASP.NET Core 1.x
await HttpContext.Authentication.SignInAsync(
"MyCookieAuthenticationScheme",
principal,
new AuthenticationProperties
{
ExpiresUtc = DateTime.UtcNow.AddMinutes(20)
});
ASP.NET Core 2.x
await HttpContext.SignInAsync(
"MyCookieAuthenticationScheme",
principal,
new AuthenticationProperties
{
ExpiresUtc = DateTime.UtcNow.AddMinutes(20)
});
上述代码段创建一个持续20分钟的身份和相应的cookie。这将忽略以前通过Cookie设置选项配置的任何滑动过期设置。
ExpiresUtc
和IsPersistent
属性是互斥的。
原文:《Using Cookie Authentication without ASP.NET Core Identity》https://docs.microsoft.com/en-us/aspnet/core/security/authentication/cookie?tabs=aspnetcore2x
翻译:Sweet Tang
本文地址:http://www.cnblogs.com/tdfblog/p/aspnet-core-security-authentication-cookie.html
欢迎转载,请在明显位置给出出处及链接。
ASP.NET Core 使用Cookie验证身份的更多相关文章
- 理解ASP.NET Core - 基于Cookie的身份认证(Authentication)
注:本文隶属于<理解ASP.NET Core>系列文章,请查看置顶博客或点击此处查看全文目录 概述 通常,身份认证(Authentication)和授权(Authorization)都会放 ...
- .Net Core 学习使用Session、和Cookie验证身份
一.使用Session 1.1 Status.cs 中配置 public void ConfigureServices(IServiceCollection services) { services. ...
- ASP.NET Core系列:JWT身份认证
1. JWT概述 JSON Web Token(JWT)是目前流行的跨域身份验证解决方案. JWT的官网地址:https://jwt.io JWT的实现方式是将用户信息存储在客户端,服务端不进行保存. ...
- 自动化CodeReview - ASP.NET Core请求参数验证
自动化CodeReview系列目录 自动化CodeReview - ASP.NET Core依赖注入 自动化CodeReview - ASP.NET Core请求参数验证 参数验证实现 在做服务端开发 ...
- Asp.Net Core存储Cookie不成功
Asp.Net Core存储Cookie不成功 Asp.Net Core2.1生成的项目模板默认实现了<>,所以设置存储Cookie需要做一些处理. 1.第一种是在Startup的Conf ...
- asp.net core 3.1多种身份验证方案,cookie和jwt混合认证授权
开发了一个公司内部系统,使用asp.net core 3.1.在开发用户认证授权使用的是简单的cookie认证方式,然后开发好了要写几个接口给其它系统调用数据.并且只是几个简单的接口不准备再重新部署一 ...
- 坎坷路:ASP.NET Core 1.0 Identity 身份验证(中集)
上一篇:<坎坷路:ASP.NET 5 Identity 身份验证(上集)> ASP.NET Core 1.0 什么鬼?它是 ASP.NET vNext,也是 ASP.NET 5,以后也可能 ...
- ASP.NET Core 项目简单实现身份验证及鉴权
ASP.NET Core 身份验证及鉴权 目录 项目准备 身份验证 定义基本类型和接口 编写验证处理器 实现用户身份验证 权限鉴定 思路 编写过滤器类及相关接口 实现属性注入 实现用户权限鉴定 测试 ...
- ASP.NET Core如何使用WSFederation身份认证集成ADFS
如果要在ASP.NET Core项目中使用WSFederation身份认证,首先需要在项目中引入NuGet包: Microsoft.AspNetCore.Authentication.WsFedera ...
随机推荐
- 实时音视频互动系列(上):又拍云UTUN网络详解
如何定义实时音视频互动, 延迟 400ms 内才能无异步感 实时音视频互动如果存在1秒左右的延时会给交流者带来异步感,必须将视频播放延迟限制在400ms以内,才能给用户较好的交互体验. 当延迟控制在4 ...
- JavaScript一个简易枚举类型实现扑克牌
<script type="text/javascript"> /** * 这个函数创建一个新的枚举类型,实参对象表示类的每个实例的名字和值 * 返回值是一个构造函数, ...
- Luogu 1962 斐波那契数列(矩阵,递推)
Luogu 1962 斐波那契数列(矩阵,递推) Description 大家都知道,斐波那契数列是满足如下性质的一个数列: f(1) = 1 f(2) = 1 f(n) = f(n-1) + f(n ...
- CJOJ 2484 函数最小值 / Luogu 2085 函数最小值(STL优先队列,堆)
CJOJ 2484 函数最小值 / Luogu 2085 函数最小值(STL优先队列,堆) Description 有n个函数,分别为F1,F2,...,Fn.定义 \(Fi(x)=Aix^2+Bix ...
- React中的路由系统
React中的路由系统 提起路由,首先想到的就是 ASPNET MVC 里面的路由系统--通过事先定义一组路由规则,程序运行时就能自动根据我们输入的URL来返回相对应的页面.前端中的路由与之类似,前端 ...
- 走进安卓的重灾区----video
html5的video已经出来很久了.在ios上使用基本上没什么毛病,但是安卓下就是一个重灾区了,各种体验差.这几天搞了安卓的兼容,简直是要吐血.所以特意总结了一些强势的坑点. 先看一下常用的一些属性 ...
- ASP.NET MVC Bundles 用法和说明(打包javascript和css)
本文主要介绍了ASP.NET MVC中的新功能Bundles,利用Bundles可以将javascript和css文件打包压缩,并且可以区分调试和非调试,在调试时不进行压缩,以原始方式显示出来,以方便 ...
- FillConsoleOutputAttribute 函数--指定区域填充控制台输出属性
FillConsoleOutputAttribute函数 来源:https://msdn.microsoft.com/en-us/library/windows/desktop/ms682663(v= ...
- hibernate 使用枚举字段的最佳实践
枚举类虽然很简单,但是却往往是系统中业务逻辑最集中最复杂的地方.本文将会分享我们项目中基于hibernate的枚举类使用规范,包含数据库中枚举列数据类型.注释.枚举列与枚举类的映射等. 一.枚举类定义 ...
- ES6字符串扩展
前面的话 字符串是编程中重要的数据类型,只有熟练掌握字符串操作才能更高效地开发程序.JS字符串的特性总是落后于其它语言,例如,直到 ES5 中字符串才获得了 trim() 方法.而 ES6 则继续添加 ...