Połączyć wykorzystanie uwierzytelniania zarówno dla stron MVC, jak i stron Web API?

Najlepszym sposobem, aby to osiągnąć, jest posiadanie serwera autoryzacji (Web API generującego token) i średniego zużycia tokenów w projekcie MVC. IdentityServer powinien pomóc. Jednak zrobiłem to tak:

Zbudowałem serwer autoryzacji używając JWT z Web API i ASP.Net tożsamość jak wyjaśniono tutaj .

 // Configures cookie auth for web apps and JWT for SPA,Mobile apps
 private void ConfigureOAuthTokenGeneration(IAppBuilder app)
 {
    // Configure the db context, user manager and role manager to use a single instance per request
    app.CreatePerOwinContext(ApplicationDbContext.Create);
    app.CreatePerOwinContext<ApplicationUserManager>(ApplicationUserManager.Create);
    app.CreatePerOwinContext<ApplicationRoleManager>(ApplicationRoleManager.Create);

    // Cookie for old school MVC application
    var cookieOptions = new CookieAuthenticationOptions
    {
        AuthenticationMode = AuthenticationMode.Active,
        CookieHttpOnly = true, // JavaScript should use the Bearer
        AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,                
        LoginPath = new PathString("/api/Account/Login"),
        CookieName = "AuthCookie"
    };
    // Plugin the OAuth bearer JSON Web Token tokens generation and Consumption will be here
    app.UseCookieAuthentication(cookieOptions);

    OAuthServerOptions = new OAuthAuthorizationServerOptions()
    {
        //For Dev enviroment only (on production should be AllowInsecureHttp = false)
        AllowInsecureHttp = true,
        TokenEndpointPath = new PathString("/oauth/token"),
        AccessTokenExpireTimeSpan = TimeSpan.FromDays(30),
        Provider = new CustomOAuthProvider(),                
        AccessTokenFormat = new CustomJwtFormat(ConfigurationManager.AppSettings["JWTPath"])
    };

    // OAuth 2.0 Bearer Access Token Generation
    app.UseOAuthAuthorizationServer(OAuthServerOptions);
}

Można znaleźć Klasy CustomOAuthProvider i CustomJwtFormat tutaj .

Napisałem logikę konsumpcji (tj. middleware) we wszystkich moich innych API (serwerach zasobów), które chciałem zabezpieczyć za pomocą tego samego tokena. Ponieważ chcesz wykorzystać token wygenerowany przez Web API w projekcie MVC, po zaimplementowaniu serwera autoryzacji musisz:

W aplikacji MVC dodaj to w startup.cs:

public void Configuration(IAppBuilder app)
{
        ConfigureOAuthTokenConsumption(app);
}

private void ConfigureOAuthTokenConsumption(IAppBuilder app)
{
    var issuer = ConfigurationManager.AppSettings["AuthIssuer"];
    string audienceid = ConfigurationManager.AppSettings["AudienceId"];
    byte[] audiencesecret = TextEncodings.Base64Url.Decode(ConfigurationManager.AppSettings["AudienceSecret"]);

    app.UseCookieAuthentication(new CookieAuthenticationOptions { CookieName = "AuthCookie" , AuthenticationType=DefaultAuthenticationTypes.ApplicationCookie });

    //// Api controllers with an [Authorize] attribute will be validated with JWT
    app.UseJwtBearerAuthentication(
        new JwtBearerAuthenticationOptions
        {
            AuthenticationMode = AuthenticationMode.Passive,
            AuthenticationType = "JWT",
            AllowedAudiences = new[] { audienceid },
            IssuerSecurityTokenProviders = new IIssuerSecurityTokenProvider[]
            {
                new SymmetricKeyIssuerSecurityTokenProvider(issuer, audiencesecret)                           
            }

        });
}

W kontrolerze MVC, gdy otrzymasz token, usuń go serializuj i wygeneruj plik cookie z dostępu token:

AccessClaims claimsToken = new AccessClaims();
claimsToken = JsonConvert.DeserializeObject<AccessClaims>(response.Content);
claimsToken.Cookie = response.Cookies[0].Value;               
Request.Headers.Add("Authorization", "bearer " + claimsToken.access_token);
var ctx = Request.GetOwinContext();
var authenticateResult = await ctx.Authentication.AuthenticateAsync("JWT");
ctx.Authentication.SignOut("JWT");
var applicationCookieIdentity = new ClaimsIdentity(authenticateResult.Identity.Claims, DefaultAuthenticationTypes.ApplicationCookie);
ctx.Authentication.SignIn(applicationCookieIdentity);

Wygeneruj klucz maszynowy i dodaj go do web.config swojego API internetowego i ASP.Net miejsce w MVC.

W ten sposób zostanie utworzony plik cookie, a atrybut [Authorize] w witrynie MVC i Web API będzie honorował ten plik cookie.

P. S. zrobiłem to z Web API wydającym JWT (serwer autoryzacji lub serwer Auth & resource) i byłem w stanie go wykorzystać w ASP.Net MVC website, SPA Site built in Angular, secure API built in python (resource server), spring (resource server) oraz aplikację na Androida.