.NET Core--验证(Autentication)

零、简介

ASP.NET Core 中的权限“子系统”主要包括两个部分：验证（Autentication）与 授权（Authorization）。在 ASP.NET Core 中它们是相对独立的，这两个概念对应的具体功能如下，

• 验证：指的是确定用户身份的过程。
• 授权：指的是确定用户是否可以执行某个操作的过程。

一、ASP.NET Core 验证功能的支持情况

• Microsoft.AspNetCore.Authentication.Cookies
• Microsoft.AspNetCore.Authentication.OAuth

• Microsoft.AspNetCore.Authentication.AzureAD.UI
• Microsoft.AspNetCore.Authentication.AzureADB2C.UI
• Microsoft.AspNetCore.Authentication.Certificate
• Microsoft.AspNetCore.Authentication.Facebook
• Microsoft.AspNetCore.Authentication.Google
• Microsoft.AspNetCore.Authentication.JwtBearer
• Microsoft.AspNetCore.Authentication.Microsoft
• Microsoft.AspNetCore.Authentication.Negotiate
• Microsoft.AspNetCore.Authentication.OpenIdConnect
• Microsoft.AspNetCore.Authentication.Twitter
• Microsoft.AspNetCore.Authentication.WsFederation

二、主要概念

1、Autentication 服务与中间件

需要说明的是在调用 AddAutentication 扩展方法之后并不意味着你的应用就拥有可用的验证功能了，该方法的作用只是为验证功能提供了一个“地基”。具体的验证方式还需要额外的配置。

//该方法返回一个 AuthenticationBuilder 这是配置验证功能的核心类， 
//上面提到的Cookies和OAuth验证功能都是通过对这个类添加扩展方法来实现的。 
services.AddAuthentication();

//添加 Microsoft.AspNetCore.Authentication.AuthenticationMiddleware 
app.UseAuthentication();

2、方案 / Scheme

//调用AddAuthentication时你可以指定一个默认的Scheme名称
services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    //配置一个JwtBearer验证方式，并命名为 JwtBearerDefaults.AuthenticationScheme
    .AddJwtBearer(JwtBearerDefaults.AuthenticationScheme, options => Configuration.Bind("JwtSettings", options))
    //配置第二个Cookie验证方式，并命名为 CookieAuthenticationDefaults.AuthenticationScheme
    .AddCookie(CookieAuthenticationDefaults.AuthenticationScheme, options => Configuration.Bind("CookieSettings", options));

3、用户凭证

4、上下文用户对象 / ClaimsPrincipal

a）继承关系 ClaimsIdentity：IIdentity ； ClaimsPrincipal：IPrincipal

b）IIdentity，Identity 的含义是一个可验证的身份，而接口 IIdentity 代表了一个可验证身份所包含的基本信息。

c）ClaimsIdentity，基于声明(Claim)的Identity，所谓基于声明就是使用声明的方式来描述 Identity 包含的信息，比如：你要为这个 Identity 添加 Name 信息你就为它添加一个声明：

claimsIdentity.AddClaim(new Claim(ClaimTypes.Name, "user_name"));

d）IPrincipal，Principal 单词有主角，委托人的含义，这里它代表了当前运行代码的安全上下文中的用户，包含用户身份（Identity），角色以及其他信息。

e）ClaimsPrincipal，基于声明的安全上下文用户，可以包含一个或多 ClaimsIdentity。

三、配置（Cookie验证方式）

• 第一步，添加 Authentication 服务
• 第二步，添加并配置 Cookie 验证方式
• 第三步，添加 Authentication 中间件

//(第一步)添加Authentication服务
services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    //(第二步)
    .AddCookie(CookieAuthenticationDefaults.AuthenticationScheme,options =>
{
    options.ExpireTimeSpan = new TimeSpan(72, 0, 0);//cookie的过期时间会72小时
    options.LoginPath = "/login";//配置登录url
    options.LogoutPath = "/logout";//配置登出url
    options.AccessDeniedPath = "/login/accessDenied";//配置无权访问时跳转的url
});
//除了在services中添加authentication服务，还需要添加authentication中间件
//(第三步)在Startup.Configure方法中添加authentication中间件
app.UseAuthentication();

四、验证流程与代码（Cookie验证方式）

->用户登录 ->创建用户信息

//用户登录成功后
if(UserLogin())
{
    //创用户信息
    var claimsIdentity = new ClaimsIdentity("Cookies");
    //添加用户声明信息
    claimsIdentity.AddClaim(new Claim(ClaimTypes.Name, "user_name"));
    claimsIdentity.AddClaim(new Claim(ClaimTypes.Role, "admin"));
    //创建ClaimsPrincipal
    var userClaimPrincipal = new ClaimsPrincipal(claimsIdentity);
}

->设置凭证

//在Http上下文中，使用用户信息设置凭证并指定验证方案
await HttpContext.SignInAsync(CookieAuthenticationDefaults.AuthenticationScheme,claimPrincipal);

->在接受请求的时候获取用户凭证

->凭证的销毁

//登出并删除Cookie中的用户凭证
await HttpContext.SignOutAsync();

五、自定义验证方式

public class MyAuthenticationHandler : AuthenticationHandler<AuthenticationSchemeOptions>
{
    public MyAuthenticationHandler(IOptionsMonitor<AuthenticationSchemeOptions> options, ILoggerFactory logger, UrlEncoder encoder, ISystemClock clock)
        : base(options, logger, encoder, clock)
    {
    }
    //重载执行验证方法，该方法需要提供一个验证结果，若验证成功则还需要提供用户信息。
    protected override async Task<AuthenticateResult> HandleAuthenticateAsync()
    {
        //该自定义验证从http 头信息中获取 token 信息并进行验证
        var token = Request.Headers["token"];
        if (token == "valid token")
        {
            //验证成功后创建用户信息
            var claimsIdentity = new ClaimsIdentity(new Claim[]
            {
                new Claim(ClaimTypes.Name, "testUser"),
                new Claim(ClaimTypes.Role, "testRole")
            }, "MyAuthentication");
            var principal = new ClaimsPrincipal(claimsIdentity);
            var ticket = new AuthenticationTicket(principal, this.Scheme.Name);
            return AuthenticateResult.Success(ticket);
        }
        else
        {
            return AuthenticateResult.Fail("token is invalid");
        }
    }
}

//添加MyAuthenticationHandler：AuthenticationHandler<TOptions> 作为验证方案
services.AddAuthentication().AddScheme<MyAuthenticationHandler>(MyAuthenticationHandler.SchemeName,options=>{
    //这里配置你的AuthenticationHandler
});

//添加MyAuthenticationHandler：IAuthenticationHandler 作为验证方案
services.AddAuthentication(options=> {
    options.AddScheme<MyAuthenticationHandler>(MyAuthenticationHandler.SchemeName, "my_scheme");
});

六、补充一点 IAuthenticationService 与 AuthenticationService

七、ASP.NET Core Identity

ASP.NET Core Identity 是一套包含了 UI、用户信息，密码、角色、管理以及邮件确认等等功能的脚手架，支持自定义以及各种外部登录，包括Facebook、Google、Microsoft、Twitter等登录方式。