Jak mogę wysłać informacje o autoryzacji z powrotem do mojej aplikacji klienta, gdy używam AngularJS, WebAPI 2 i OAuth 2?

Widzę, że możesz podejść do swojego problemu na dwa sposoby.

1. Dołącz informacje o "roli" do tokena za pomocą hasha lub prostego ciągu znaków, ponieważ to Ty generujesz token, a następnie możesz go odszyfrować na kąt.

2. Wygląda na to, że chcesz użyć ASP.NET System Identyfikacji i przechowywać i pobierać informacje o roli tam. Jeśli tak jest, możesz przejść przez Ten post zwróć uwagę na " Initialize the database to create admin Role and Admin Sekcja użytkownika.

IMO, #1 da ci większą elastyczność w jaki sposób przechowujesz i używasz danych użytkownika, ponieważ #2 śledzisz IdentityUser Microsoftu, chociaż czasami wygląda to magicznie i ma tendencję do ograniczania postów i musisz poświęcić czas, aby zrozumieć, jak to działa za sceną i sprawić, że będzie działać dla Twojego projektu.

Aby dowiedzieć się więcej o "indywidualnych kontach użytkowników", które wybierzesz podczas tworzonego projektu WebAPI, możesz przejść do http://www.asp.net/visual-studio/overview/2013/creating-web-projects-in-visual-studio#indauth

Mam bardzo podobny scenariusz jak Twój, ale zamiast używać tokenów do uwierzytelniania, używam serwera tożsamości (Thinktecture ) do obsługi mojego uwierzytelniania. Moja aplikacja przekierowuje do serwera tożsamości, aby uwierzytelnić i wraca z kilkoma bardzo podstawowymi oświadczeniami (nazwa użytkownika i adres e-mail). Dzieje się tak, gdy tylko ktoś spróbuje najpierw przejść do strony. Po uwierzytelnieniu użytkownika i przekierowaniu do mojej aplikacji wykonuję kolejne połączenie na serwer, aby uzyskać uprawnienia użytkownika. Te uprawnienia są przechowywane w usłudze bezpieczeństwa (AngularJS), która również udostępnia metodę "hasPermissions". Następnie używam ng-if, aby zdecydować, czy mam zamiar wyświetlić pewne części strony - w tym pozycje menu. Coś takiego:

var service = {
    currentUser: ...,
    isAuthenticated: function() {
        return ...;
    },
    checkAccess: function(permission) {
        return service.isAuthenticated() ?
            !!(service.currentUser.permissions.indexOf(permission) > -1) : false;
    }
}

Pamiętaj, że wszystkie uprawnienia i elementy html są widoczne dla każdego, kto zdecyduje się nacisnąć przycisk dev tools i rzucić okiem. Musisz zrobić te same kontrole po stronie serwera przed wykonaniem jakiejkolwiek akcji. Mamy zwyczaj Atrybut autoryzacji oparty na this , który sprawdza, czy użytkownik ma niezbędne uprawnienia do wykonania akcji MVC / WebAPI przed wykonaniem jej dla prostych przypadków lub sprawdza ją w ramach akcji lub zasobu HTTP przed zrobieniem czegokolwiek, co wymaga podwyższonych uprawnień.

Jeśli chcesz, aby Klient nie widział żadnych elementów html lub niektórych sekcji witryny, możesz skierować szablony do akcji MVC, która uwierzytelni i zwróci szablon HTML lub przekierować na inną stronę (nie do serwera SPA) i uwierzytelnić je na serwerze przed powrotem odpowiedzi.

Tu kolejna odpowiedź:

In ApplicationOAuthProvider.cs

  public override async Task GrantResourceOwnerCredentials(OAuthGrantResourceOwnerCredentialsContext context)
        {
            var userManager = context.OwinContext.GetUserManager<ApplicationUserManager>();

            ApplicationUser user = await userManager.FindAsync(context.UserName, context.Password);


            if (user == null)
            {
                context.SetError("invalid_grant", "The user name or password is incorrect.");
                return;
            }

Po prostu Dodaj niestandardowy nagłówek!

 context.OwinContext.Response.Headers.Add("Roles", userManager.GetRoles(user.Id).ToArray());