您现在的位置是：网站首页> 编程资料编程资料

ASP.NET Core中Cookie验证身份用法详解_实用技巧_

2023-05-24 276人已围观

简介 ASP.NET Core中Cookie验证身份用法详解_实用技巧_

ASP.NET Core 1.x提供了通过Cookie 中间件将用户主体序列化为一个加密的Cookie，然后在后续请求中验证Cookie并重新创建主体，并将其分配给HttpContext.User属性。如果您要提供自己的登录界面和用户数据库，可以使用作为独立功能的Cookie中间件。

ASP.NET Core 2.x的一个主要变化是不再存在Cookie中间件。取而代之的是在Startup.cs文件中的Configure方法中的调用UseAuthentication方法会添加设置HttpContext.User属性的 AuthenticationMiddleware 中间件。

添加配置

ASP.NET Core 1.x

按下列步骤操作：

  • 在您的项目中安装Microsoft.AspNetCore.Authentication.CookiesNuGet包。此包包含Cookie中间件。

  • 在Startup.cs文件中的Configure方法中添加下面的行，在app.UseMvc()语句之前：

 app.UseCookieAuthentication(new CookieAuthenticationOptions() { AccessDeniedPath = "/Account/Forbidden/", AuthenticationScheme = "MyCookieAuthenticationScheme", AutomaticAuthenticate = true, AutomaticChallenge = true, LoginPath = "/Account/Unauthorized/" });

ASP.NET Core 2.x

按下列步骤操作：

  • 如果不使用Microsoft.AspNetCore.All 元包，则在您的项目中安装2.0版的Microsoft.AspNetCore.Authentication.CookiesNuGet包。

  • 在Startup.cs文件中的Configure方法中调用UseAuthentication方法：

 app.UseAuthentication();
  • 在Startup.cs文件中的ConfigureServices方法中调用AddAuthentication和AddCookie方法：
 services.AddAuthentication("MyCookieAuthenticationScheme") .AddCookie("MyCookieAuthenticationScheme", options => { options.AccessDeniedPath = "/Account/Forbidden/"; options.LoginPath = "/Account/Unauthorized/"; });

上面的代码片段配置了以下部分或全部选项：

  • AccessDeniedPath - 当用户尝试访问资源但没有通过任何授权策略时，这是请求会重定向的相对路径资源。
  • AuthenticationScheme - 这是一个已知的特定Cookie认证方案的值。当有多个Cookie验证实例，并且您想限制对一个实例的授权时，这就非常有用。
  • AutomaticAuthenticate - 此标识仅适用于ASP.NET Core 1.x。它表示Cookie身份验证应在每个请求上运行，并尝试验证和重建序列化主体。
  • AutomaticChallenge - 此标识仅适用于ASP.NET Core 1.x。这表示当授权失败时，1.x Cookie认证应将浏览器重定向到LoginPath或AccessDeniedPath。
  • LoginPath - 当用户尝试访问资源但尚未认证时，这是请求重定向的相对路径。

其它选项包括为Cookie认证创建的设置选项，身份验证的Cookie的名称，Cookie的域和Cookie各种安全属性。默认情况下，Cookie身份验证为其创建的任何Cookie使用适当的安全选项，例如：

  • 设置HttpOnly标志以防止客户端JavaScript中访问Cookie
  • 如果请求是通过HTTPS访问，则将Cookie限制为HTTPS

创建身份认证Cookie

要创建一个保存用户信息的cookie，您必须构建一个ClaimsPrincipal 保存您希望序列化到Cookie中的信息。

ASP.NET Core 1.x

 await HttpContext.Authentication.SignInAsync("MyCookieAuthenticationScheme", principal);

ASP.NET Core 2.x

 await HttpContext.SignInAsync("MyCookieAuthenticationScheme", principal);

这将创建一个加密的Cookie并将其添加到当前响应中。在调用SignInAsync时，必须在配置中指定的AuthenticationScheme。

顺便提一下，使用的加密方式是ASP.NET Core的Data Protection系统。如果您在多台机器上进行托管、负载平衡或使用Web集群，则需要配置Data Protection才能使用相同的密钥和应用程序标识符。

Signing out(登出)

要退出当前用户并删除其Cookie，请在控制器中调用以下方法：

ASP.NET Core 1.x

 await HttpContext.Authentication.SignOutAsync("MyCookieAuthenticationScheme");

ASP.NET Core 2.x

 await HttpContext.SignOutAsync("MyCookieAuthenticationScheme");

服务端变化反馈

警告： 一旦创建了认证的Cookie，它将成为唯一的身份来源。即使您在服务系统中禁用用户，Cookie身份验证也无法了解此信息，只要Cookie有效，用户仍可登录。

Cookie认证在其选项中提供了一系列事件。ValidateAsync()事件可用于拦截和重写Cookie身份验证。

可以考虑在后端用户数据库中增加LastChanged列。为了在数据库更改时使Cookie无效，您应该首先在创建Cookie时添加一个LastChanged包含当前值的声明。数据库更改时，更新LastChanged例的值。

要重写ValidateAsync()事件的实现，您必须编写一个具有以下签名的方法：

 Task ValidateAsync(CookieValidatePrincipalContext context);

ASP.NET Core Identity 在SecurityStampValidator实现了这一逻辑，链接地址。示例如下所示：

ASP.NET Core 1.x

 public static class LastChangedValidator { public static async Task ValidateAsync(CookieValidatePrincipalContext context) { // Pull database from registered DI services. var userRepository = context.HttpContext.RequestServices.GetRequiredService(); var userPrincipal = context.Principal; // Look for the last changed claim. string lastChanged; lastChanged = (from c in userPrincipal.Claims where c.Type == "LastUpdated" select c.Value).FirstOrDefault(); if (string.IsNullOrEmpty(lastChanged) || !userRepository.ValidateLastChanged(userPrincipal, lastChanged)) { context.RejectPrincipal(); await context.HttpContext.Authentication.SignOutAsync("MyCookieAuthenticationScheme"); } } }

然后，在Startup.cs文件中的Configure方法中将Cokie认证配置进行重写：

 app.UseCookieAuthentication(new CookieAuthenticationOptions { Events = new CookieAuthenticationEvents { OnValidatePrincipal = LastChangedValidator.ValidateAsync } });

ASP.NET Core 2.x

 public static class LastChangedValidator { public static async Task ValidateAsync(CookieValidatePrincipalContext context) { // Pull database from registered DI services. var userRepository = context.HttpContext.RequestServices.GetRequiredService(); var userPrincipal = context.Principal; // Look for the last changed claim. string lastChanged; lastChanged = (from c in userPrincipal.Claims where c.Type == "LastUpdated" select c.Value).FirstOrDefault(); if (string.IsNullOrEmpty(lastChanged) || !userRepository.ValidateLastChanged(userPrincipal, lastChanged)) { context.RejectPrincipal(); await context.HttpContext.SignOutAsync("MyCookieAuthenticationScheme"); } } }

然后，将在Startup.cs的ConfigureServices方法中将Cookie服务注册进行配置：

 services.AddAuthentication("MyCookieAuthenticationScheme") .AddCookie(options => { options.Events = new CookieAuthenticationEvents { OnValidatePrincipal = LastChangedValidator.ValidateAsync }; });

如果要非破坏性地更新用户主体，可以调用context.ReplacePrincipal()，并将context.ShouldRenew属性设置为

上一篇：ASP.NET Core中Razor页面与MVC区别介绍_实用技巧_

下一篇：ASP.NET Core中的Razor页面实现路由功能_实用技巧_

相关内容

点击排行

本栏推荐

猜你喜欢

-六神源码网