Rejestracja zewnętrznych loginów Web API 2 od wielu klientów API z identyfikacją OWIN

OpenID OpenID connect: wiele się zmieniło od czasu napisania tego postu w styczniu: MSFT wydało oficjalne oprogramowanie pośredniczące klienta OpenID connect i ciężko pracowałem z @manfredsteyer nad dostosowaniem serwera autoryzacji OAuth2 wbudowanego w katanę do OpenID connect. Ta kombinacja daje o wiele łatwiejsze i bardziej wydajne rozwiązanie, które nie wymaga żadnego niestandardowego kodu klienta i jest w 100% kompatybilne ze standardowymi klientami OAuth2/OpenID connect. Poszczególne kroki, o których wspomniałem w styczniu, mogą być teraz zastąpiony przez kilka linijek:

Serwer:

app.UseOpenIdConnectServer(options =>
{
    options.TokenEndpointPath = new PathString("/connect/token");
    options.SigningCredentials.AddCertificate(certificate);

    options.Provider = new CustomOpenIdConnectServerProvider();
});

Klient:

app.UseOpenIdConnectAuthentication(new OpenIdConnectAuthenticationOptions
{
    Authority = "http://localhost:55985/",

    ClientId = "myClient",
    ClientSecret = "secret_secret_secret",
    RedirectUri = "http://localhost:56854/oidc"
});

Https://github.com/aspnet-contrib/AspNet.Security.OpenIdConnect.Server

Https://github.com/aspnet-contrib/AspNet.Security.OpenIdConnect.Server/tree/dev/samples/Nancy

To, co musisz zrobić, to stworzyć własny serwer autoryzacji OAuth2 . Masz wiele opcji, aby to osiągnąć, ale najprostszą z nich jest prawdopodobnie podłączenie OAuthAuthorizationServerMiddleware do klasy startowej OWIN. Znajdziesz go w Microsoft.Owin.Security.OAuth paczce Nuget.

Podczas gdy najlepszą praktyką byłoby stworzenie oddzielnego projektu (często nazywany "AuthorizationServer"), osobiście wolę dodać go do mojego "projektu API", gdy nie ma być używany w wielu API (tutaj trzeba by go wstawić do hostingu projektu "api.prettypictures.com").

Znajdziesz świetną próbkę w repozytorium Katana:

Https://katanaproject.codeplex.com/SourceControl/latest#tests/Katana.Sandbox.WebServer/Startup.cs

app.UseOAuthAuthorizationServer(new OAuthAuthorizationServerOptions
{
    AuthorizeEndpointPath = new PathString("/oauth2/authorize"),
    TokenEndpointPath = new PathString("/oauth2/token"),
    ApplicationCanDisplayErrors = true,

    AllowInsecureHttp = true,

    Provider = new OAuthAuthorizationServerProvider
    {
        OnValidateClientRedirectUri = ValidateClientRedirectUri,
        OnValidateClientAuthentication = ValidateClientAuthentication,
        OnGrantResourceOwnerCredentials = GrantResourceOwnerCredentials,
    },
    AuthorizationCodeProvider = new AuthenticationTokenProvider
    {
        OnCreate = CreateAuthenticationCode,
        OnReceive = ReceiveAuthenticationCode,
    },
    RefreshTokenProvider = new AuthenticationTokenProvider
    {
        OnCreate = CreateRefreshToken,
        OnReceive = ReceiveRefreshToken,
    }
});

Nie wahaj się przejrzeć całego projektu, aby zobaczyć, jak formularz zgody autoryzacji został zaimplementowany przy użyciu prostych plików Razor. Jeśli wolisz ramy wyższego poziomu, takie jak ASP.NET MVC lub NancyFX, utwórz własny kontroler AuthorizationController i metody Authorize (upewnij się, że akceptujesz zarówno GET, jak i POST) i użyj trasowania atrybutów, aby dopasować ścieżkę autoryzacji AuthorizeEndpointPath zdefiniowaną w serwerze autoryzacji OAuth2 (tj. [Route("oauth2/authorize")] w mojej próbce, gdzie zmieniłem AuthorizeEndpointPath, aby użyć oauth2/ jako podstawy ścieżki).

Inną rzeczą, którą musisz zrobić, to dodać OAuth2 klient autoryzacji w aplikacji internetowej. Niestety, nie ma ogólnej obsługi klienta OAuth2 w katanie i będziesz musiał zbudować swój własny. Osobiście złożyłem propozycję zespołowi Katany, ale została ona odrzucona. Ale nie panikuj, to raczej łatwe do zrobienia:

Skopiuj odpowiednie pliki z Microsoftu.Owin.Ochrona.Znajduje się tam repozytorium Google: https://katanaproject.codeplex.com/SourceControl/latest#src/Microsoft.Owin.Security.Google/GoogleOAuth2AuthenticationHandler.cs

Będziesz potrzebował GoogleOAuth2AuthenticationHandler, GoogleOAuth2AuthenticationMiddleware, GoogleOAuth2AuthenticationOptions, GoogleAuthenticationExtensions (będziesz musiał usunąć pierwsze 2 metody odpowiadające implementacji Google OpenID), IGoogleOAuth2AuthenticationProvider, GoogleOAuth2ReturnEndpointContext, GoogleOAuth2AuthenticationProvider, GoogleOAuth2AuthenticatedContext i GoogleOAuth2ApplyRedirectContext. Po włożeniu tych plików do hostingu projektu "webpics.com", odpowiednio zmienić ich nazwy i zmienić adres URL autoryzacji i dostępu do tokenów w GoogleOAuth2AuthenticationHandler aby dopasować te, które zdefiniowałeś na swoim serwerze autoryzacji OAuth2.

Następnie Dodaj metodę Use z przemianowanego / niestandardowego GoogleAuthenticationExtensions do swojej klasy startowej OWIN. Sugeruję użycie AuthenticationMode.Active, aby użytkownicy zostali bezpośrednio przekierowani do punktu końcowego autoryzacji API OAuth2. Tak więc, należy stłumić "api.prettypictures.com/Account/ExternalLogins" roundtrip i pozwól oprogramowaniu pośredniczącemu klienta OAuth2 zmienić 401 odpowiedzi, aby przekierować klientów do twojego API.