ASP.NET Core 实现基本认证的示例代码

 更新时间:2020-11-19 04:07:30   作者:佚名   我要评论(0)

HTTP基本认证
在HTTP中,HTTP基本认证(Basic Authentication)是一种允许网页浏览器或其他客户端程序以(用户名:口令) 请求资源的身份验证方式,不要求cookie,sess

HTTP基本认证

在HTTP中,HTTP基本认证(Basic Authentication)是一种允许网页浏览器或其他客户端程序以(用户名:口令) 请求资源的身份验证方式,不要求cookie,session identifier、login page等标记或载体。

- 所有浏览器据支持HTTP基本认证方式

- 基本身证原理不保证传输凭证的安全性,仅被based64编码,并没有encrypted或者hashed,一般部署在客户端和服务端互信的网络,在公网中应用BA认证通常与https结合

https://en.wikipedia.org/wiki/Basic_access_authentication

BA标准协议

BA认证协议的实施主要依靠约定的请求头/响应头,典型的浏览器和服务器的BA认证流程:

① 浏览器请求应用了BA协议的网站,服务端响应一个401认证失败响应码,并写入WWW-Authenticate响应头,指示服务端支持BA协议

HTTP/1.1 401 Unauthorized
WWW-Authenticate: Basic realm="our site" # WWW-Authenticate响应头包含一个realm域属性,指明HTTP基本认证的是这个资源集

或客户端在第一次请求时发送正确Authorization标头,从而避免被质询

② 客户端based64(用户名:口令),作为Authorization标头值 重新发送请求。

Authorization: Basic userid:password

所以在HTTP基本认证中认证范围与 realm有关(具体由服务端定义)

> 一般浏览器客户端对于www-Authenticate质询结果,会弹出口令输入窗.

BA编程实践

aspnetcore网站利用FileServerMiddleware 将路径映射到某文件资源, 现对该 文件资源访问路径应用 Http BA协议。

ASP.NET Core服务端实现BA认证:

① 实现服务端基本认证的认证过程、质询逻辑

②实现基本身份认证交互中间件BasicAuthenticationMiddleware ,要求对HttpContext使用 BA.Scheme

③ASP.NET Core 添加认证计划 , 为文件资源访问路径启用 BA中间件,注意使用UseWhen插入中间件

using System;
using System.Net.Http.Headers;
using System.Security.Claims;
using System.Text;
using System.Text.Encodings.Web;
using System.Threading.Tasks;
using Microsoft.AspNetCore.Authentication;
using Microsoft.Extensions.Logging;
using Microsoft.Extensions.Options;

namespace EqidManager.Services
{
  public static class BasicAuthenticationScheme
  {
    public const string DefaultScheme = "Basic";
  }

  public class BasicAuthenticationOption:AuthenticationSchemeOptions
  {
    public string Realm { get; set; }
    public string UserName { get; set; }
    public string UserPwd { get; set; }
  }

  public class BasicAuthenticationHandler : AuthenticationHandler<BasicAuthenticationOption>
  {
    private readonly BasicAuthenticationOption authOptions;
    public BasicAuthenticationHandler(
      IOptionsMonitor<BasicAuthenticationOption> options,
      ILoggerFactory logger,
      UrlEncoder encoder,
      ISystemClock clock)
      : base(options, logger, encoder, clock)
    {
      authOptions = options.CurrentValue;
    }

    /// <summary>
    /// 认证
    /// </summary>
    /// <returns></returns>
    protected override async Task<AuthenticateResult> HandleAuthenticateAsync()
    {
      if (!Request.Headers.ContainsKey("Authorization"))
        return AuthenticateResult.Fail("Missing Authorization Header");
      string username, password;
      try
      {
        var authHeader = AuthenticationHeaderValue.Parse(Request.Headers["Authorization"]);
        var credentialBytes = Convert.FromBase64String(authHeader.Parameter);
        var credentials = Encoding.UTF8.GetString(credentialBytes).Split(':');
         username = credentials[0];
         password = credentials[1];
         var isValidUser= IsAuthorized(username,password);
        if(isValidUser== false)
        {
          return AuthenticateResult.Fail("Invalid username or password");
        }
      }
      catch
      {
        return AuthenticateResult.Fail("Invalid Authorization Header");
      }

      var claims = new[] {
        new Claim(ClaimTypes.NameIdentifier,username),
        new Claim(ClaimTypes.Name,username),
      };
      var identity = new ClaimsIdentity(claims, Scheme.Name);
      var principal = new ClaimsPrincipal(identity);
      var ticket = new AuthenticationTicket(principal, Scheme.Name);
      return await Task.FromResult(AuthenticateResult.Success(ticket));
    }

    /// <summary>
    /// 质询
    /// </summary>
    /// <param name="properties"></param>
    /// <returns></returns>
    protected override async Task HandleChallengeAsync(AuthenticationProperties properties)
    {
      Response.Headers["WWW-Authenticate"] = $"Basic realm=\"{Options.Realm}\"";
      await base.HandleChallengeAsync(properties);
    }

    /// <summary>
    /// 认证失败
    /// </summary>
    /// <param name="properties"></param>
    /// <returns></returns>
    protected override async Task HandleForbiddenAsync(AuthenticationProperties properties)
    {
      await base.HandleForbiddenAsync(properties); 
    }

    private bool IsAuthorized(string username, string password)
    {
      return username.Equals(authOptions.UserName, StringComparison.InvariantCultureIgnoreCase)
          && password.Equals(authOptions.UserPwd);
    }
  }
}
// HTTP基本认证Middleware public static class BasicAuthentication
 {
    public static void UseBasicAuthentication(this IApplicationBuilder app)
    {
      app.UseMiddleware<BasicAuthenticationMiddleware>();
    }
 }

public class BasicAuthenticationMiddleware
{
   private readonly RequestDelegate _next;
   private readonly ILogger _logger;

   public BasicAuthenticationMiddleware(RequestDelegate next, ILoggerFactory LoggerFactory)
   {
    _next = next;    _logger = LoggerFactory.CreateLogger<BasicAuthenticationMiddleware>();
   }
   public async Task Invoke(HttpContext httpContext, IAuthenticationService authenticationService)
   {
    var authenticated = await authenticationService.AuthenticateAsync(httpContext, BasicAuthenticationScheme.DefaultScheme);
    _logger.LogInformation("Access Status:" + authenticated.Succeeded);
    if (!authenticated.Succeeded)
    {
      await authenticationService.ChallengeAsync(httpContext, BasicAuthenticationScheme.DefaultScheme, new AuthenticationProperties { });
      return;
    }
    await _next(httpContext);
   }
}
// HTTP基本认证Middleware public static class BasicAuthentication
 {
    public static void UseBasicAuthentication(this IApplicationBuilder app)
    {
      app.UseMiddleware<BasicAuthenticationMiddleware>();
    }
 }

public class BasicAuthenticationMiddleware
{
   private readonly RequestDelegate _next;
   private readonly ILogger _logger;

   public BasicAuthenticationMiddleware(RequestDelegate next, ILoggerFactory LoggerFactory)
   {
    _next = next;    _logger = LoggerFactory.CreateLogger<BasicAuthenticationMiddleware>();
   }
   public async Task Invoke(HttpContext httpContext, IAuthenticationService authenticationService)
   {
    var authenticated = await authenticationService.AuthenticateAsync(httpContext, BasicAuthenticationScheme.DefaultScheme);
    _logger.LogInformation("Access Status:" + authenticated.Succeeded);
    if (!authenticated.Succeeded)
    {
      await authenticationService.ChallengeAsync(httpContext, BasicAuthenticationScheme.DefaultScheme, new AuthenticationProperties { });
      return;
    }
    await _next(httpContext);
   }
}

Startup.cs 文件添加并启用HTTP基本认证

services.AddAuthentication(BasicAuthenticationScheme.DefaultScheme)
        .AddScheme<BasicAuthenticationOption, BasicAuthenticationHandler>(BasicAuthenticationScheme.DefaultScheme,null);
app.UseWhen(
      predicate:x => x.Request.Path.StartsWithSegments(new PathString(_protectedResourceOption.Path)),
      configuration:appBuilder => { appBuilder.UseBasicAuthentication(); }
  );

以上BA认证的服务端已经完成,现在可以在浏览器测试:

进一步思考?

浏览器在BA协议中行为: 编程实现BA客户端,要的同学可以直接拿去

/// <summary>
  /// BA认证请求Handler
  /// </summary>
  public class BasicAuthenticationClientHandler : HttpClientHandler
  {
    public static string BAHeaderNames = "authorization";
    private RemoteBasicAuth _remoteAccount;

    public BasicAuthenticationClientHandler(RemoteBasicAuth remoteAccount)
    {
      _remoteAccount = remoteAccount;
      AllowAutoRedirect = false;
      UseCookies = true;
    }

    protected override Task<HttpResponseMessage> SendAsync(HttpRequestMessage request, CancellationToken cancellationToken)
    {
      var authorization = $"{_remoteAccount.UserName}:{_remoteAccount.Password}";
      var authorizationBased64 = "Basic " + Convert.ToBase64String(new ASCIIEncoding().GetBytes(authorization));
      request.Headers.Remove(BAHeaderNames);
      request.Headers.Add(BAHeaderNames, authorizationBased64);
      return base.SendAsync(request, cancellationToken);
    }
  }


 // 生成basic Authentication请求
      services.AddHttpClient("eqid-ba-request", x =>
          x.BaseAddress = new Uri(_proxyOption.Scheme +"://"+ _proxyOption.Host+":"+_proxyOption.Port ) )
        .ConfigurePrimaryHttpMessageHandler(y => new BasicAuthenticationClientHandler(_remoteAccount){} )
        .SetHandlerLifetime(TimeSpan.FromMinutes(2));

仿BA认证协议中的浏览器行为

That's All . BA认证是随处可见的基础认证协议,本文期待以最清晰的方式帮助你理解协议:

实现了基本认证协议服务端,客户端;

到此这篇关于ASP.NET Core 实现基本认证的示例代码的文章就介绍到这了,更多相关ASP.NET Core基本认证内容请搜索脚本之家以前的文章或继续浏览下面的相关文章希望大家以后多多支持脚本之家!

您可能感兴趣的文章:
  • ASP.NET Core学习之使用JWT认证授权详解
  • ASP.NET Core Authentication认证实现方法
  • Asp.net Core中实现自定义身份认证的示例代码
  • 浅谈ASP.NET Core 中jwt授权认证的流程原理
  • ASP.Net Core3.0中使用JWT认证的实现
  • Asp.Net Core基于JWT认证的数据接口网关实例代码
  • ASP.NET学习CORE中使用Cookie身份认证方法
  • 详解ASP.NET Core Token认证

相关文章

  • ASP.NET Core 实现基本认证的示例代码

    ASP.NET Core 实现基本认证的示例代码

    HTTP基本认证 在HTTP中,HTTP基本认证(Basic Authentication)是一种允许网页浏览器或其他客户端程序以(用户名:口令) 请求资源的身份验证方式,不要求cookie,sess
    2020-11-19
  • .NET Core3.0 日志 logging的实现

    .NET Core3.0 日志 logging的实现

    多年的经验,日志记录是软件开发的重要组成部分。没有日志记录机制的系统不是完善的系统。在开发阶段可以通过debug附件进程进行交互调试,可以检测到一些问题,但是
    2020-11-19
  • ASP.NetCore使用Swagger实战

    ASP.NetCore使用Swagger实战

    踩坑不背锅,.NET Core 试深浅 关于Swagger什么是swagger所带来的帮助 使用Swagger 关于Swagger 什么是swagger 使人和计算机在看不到源码或者看不到文档或者不能通过
    2020-11-19
  • 深入解读ASP.NET Core身份认证过程实现

    深入解读ASP.NET Core身份认证过程实现

    长话短说:上文我们讲了 ASP.NET Core 基于声明的访问控制到底是什么鬼? 今天我们乘胜追击:聊一聊ASP.NET Core 中的身份验证。 身份验证是确定用户身份的过程。
    2020-11-19
  • Nginx配置实现下载文件的示例代码

    Nginx配置实现下载文件的示例代码

      偶尔听人说用nginx实现文件上传下载,之前看nginx实践大致看到过,没有细究。所以今天就想研究下nginx实现文件的上传下载,直接开搞,本地服务启起。这里记录下
    2020-11-19
  • Asp.Net Core 企业微信静默授权的实现

    Asp.Net Core 企业微信静默授权的实现

    企业微信接口文档 1. 构造授权网页链接 2.回调获取到 Code 通过code+access_token去 请求用户信息 3. 获取access_token 调试准备工作 -->内网穿透+域名 推荐向日
    2020-11-19
  • 详解ASP.NET Core 反向代理部署知多少

    详解ASP.NET Core 反向代理部署知多少

    引言 最近在折腾统一认证中心,看到开源项目IdentityServer4.Admin集成了IdentityServer4和管理面板,就直接拿过来用了。在尝试Nginx部署时遇到了诸如虚拟目录映射,
    2020-11-19
  • 基于.NET的FluentValidation数据验证实现

    基于.NET的FluentValidation数据验证实现

    学习地址:官方文档,更多更详细的内容可以看官方文档。 FluentValidation 是一个基于 .NET 开发的验证框架,开源免费,而且优雅,支持链式操作,易于理解,功能完善
    2020-11-19
  • 手把手教你AspNetCore WebApi认证与授权的方法

    手把手教你AspNetCore WebApi认证与授权的方法

    前言 这几天小明又有烦恼了,之前给小红的接口没有做认证授权,直接裸奔在线上,被马老板发现后狠狠的骂了一顿,赶紧让小明把授权加上。赶紧Baidu一下,发现大家都在
    2020-11-19
  • net core webapi多版本控制与swagger(nswag)配置教程

    net core webapi多版本控制与swagger(nswag)配置教程

    前言 首先希望webapi支持多版本,swagger针对不同的版本可进行交互。多版本控制基于Microsoft.AspNetCore.Mvc.Versioning.ApiExplorer包,swagger可以选择Swashbuck
    2020-11-19

最新评论