asp.net web api 接口安全与角色控制

1 API接口验证与授权

JWT

JWT定义,它包含三部分:header,payload,signature;每一部分都是使用Base64编码的JSON字符串。之间以句号分隔。signature是”header.payload”经加密后的字符串。

采用JWT实现验证与授权检验机制,JWT格式为:

header :
{
  "typ": "JWT",
  "alg": "HS256"
}
payload:appid为GUID,timestamp为unix时间戳
{
    "appid": GUID,
    "timestamp": Unix time
}

Signature:使用HS256(HMAC SHA-256,SHA Secure Hash Algorithm,安全散列算法)对header和payload以‘.’连接的字符串进行签名。

对JWT加密:采用RSA加密算法对其进行加密。

密钥发放

发放给客户端的参数:appId、appSecret、publicKey、privateKeyId。其中publicKey为RSA公钥,privateKeyId为服务端私钥Id。服务端或根据privateKeyId在缓存(本地或Redis等)中查找RSA私钥。

合成accessToken:header、payload与上述相同,签名密钥为appSecret。合成以后,使用publicKey对其进行加密。

合成headerJson:由accessToken和privateKeyId构成的Json字符串,然后将字符串用Base64编码方式编码。

验证流程

客户端将上述headerB64放入请求头,向服务端发起请求,服务端从请求头中拿到headerJson并解码headerJson,进而从中得到accessToken和privateKeyId,服务端根据privateKeyId找到privateKey,使用privateKey对accessToken解密,根据payload中的timestamp验证过期,若未过期,那么进行签名校验,验证通过授权用户端。

示例代码(关键性代码)

public abstract class BasicAuthenticationAttribute : Attribute, IAuthenticationFilter
    {
               
        public async Task AuthenticateAsync(HttpAuthenticationContext context, System.Threading.CancellationToken cancellationToken)
        {
            await Task.Factory.StartNew(()=>
            {
                //解析头信息,获得appid和timestamp
                var header = ...
                //如果未获得上述信息
                if (header == null)
                {
                    context.ErrorResult = new AuthenticationFailureResult(requestHeaderAnalysis.ExecStatus, context.Request);
                    return;
                }

                //从缓存中获得RSA私钥
string privateKey= ...
                if (String.IsNullOrWhiteSpace(privateKey))
                {
                    context.ErrorResult = new AuthenticationFailureResult(StatusCodeManager.GetStatusInfo("B07", "a001"), context.Request);
                    return;
                }

                //使用RSA私钥对AccessToken解密
                string accessToken = Decrypt(requestHeaderInfo.AccessToken, privateKey);
                if (String.IsNullOrWhiteSpace(accessToken))
                {//验证凭据是空,设置错误信息
                    context.ErrorResult = new AuthenticationFailureResult(StatusCodeManager.GetStatusInfo("B05", "a001"), context.Request);
                    return;
                }

                //从AccessToken的payload中获得appKey和timestamp(时间戳)
                var payloadDict = JsonWebToken.DecodeToObject(accessToken);
                string appKey = Convert.ToString(payloadDict["appKey"]);
                string timestamp = Convert.ToString(payloadDict["timestamp"]);

                //在服务端数据库中,根据appKey查找appSecret
                ApiAccount apiAccount = GetApiAccount(appKey);
                if (apiAccount==null||string.IsNullOrWhiteSpace(apiAccount.AppSecret))
                {
                    context.ErrorResult = new AuthenticationFailureResult(StatusCodeManager.GetStatusInfo("B05", "a001"), context.Request);
                    return;
                }

                //验证是否超时,签名是否被篡改
                try
                {
                    //允许的时间段(小时转化为秒)
                    JsonWebToken.Validate(accessToken, apiAccount.AppSecret, (int)AppSettings.TokenTimeout.TotalSeconds);
                }
                catch (TokenExpiredException ex)
                {
                    context.ErrorResult = new AuthenticationFailureResult(StatusCodeManager.GetStatusInfo("B03", "a001"), context.Request);
                    return;
                }
                catch (SignatureVerificationException ex)
                {
                    context.ErrorResult = new AuthenticationFailureResult(StatusCodeManager.GetStatusInfo("B02", "a001"), context.Request);
                    return;
                }

            });
            //其他验证逻辑
            await AuthenticateHockAsync(context, cancellationToken);
        }

        
        //// <summary>
        /// 子类中重写
        /// 实现他验证逻辑
        /// </summary>
        protected abstract Task AuthenticateHockAsync(HttpAuthenticationContext context, System.Threading.CancellationToken cancellationToken);

        /// <summary>
        /// 设置principal
        /// </summary>
        public Task ChallengeAsync(HttpAuthenticationChallengeContext context, System.Threading.CancellationToken cancellationToken)
        {
            return Task.FromResult(0);
        }
        public bool AllowMultiple
        {
            get { return true; }
        }
    }

2 用户授权

某些数据只有用户登陆了才能够获得,并且不同的用户对数据的访问级别也不一样,为实现登陆验证与角色控制,采用以下方式。

在上述实现API接入权限验证的基础上,为headerJson增加一个字段:loginToken;和accessToken相似,loginToken也是JWT标准字符串,不同的是loginToken的payload部分,loginToken的payload结构为:

{
"identifyingCode": GUID,
    "account":userAccount
    "timestamp": Unix time
}

其中:identifyingCode值为GUID,account为用户账号,timestamp是UNIX时间戳。

客户端不生成loginToken,在客户端合成accessToken后,调用服务端的登陆方法,成功登陆后获得loginToken。

服务端验证流程

客户端调用登陆方法的同时,如果登陆成功,服务端会将登陆信息存储到缓存中,主要的就是loginToken,根据业务需要可以增加其他信息。每一个loginToken对应了一个键值,这里使用useAccount,即用户账号作为键值。服务端获得loginToken后,根据privateKeyId(headerJson字段之一)获得privateKey对loginToken解密,根据payload中的timestamp验证是否过期,然后验证签名是否正确,接着根据account找到上次登陆时服务端缓存中存储的loginToken,比较本次loginToken中的identifyingCode是否与上次一样,不一样表明,其在另一台设备登陆过。

单设备登陆:

某些情形下,不允许多设备同时使用同一账号登陆或多人同时使用同一账号,上述方法采用loginToken中添加identifyingCode字段来控制多设备同时使用同一账号的情形。

示例代码(关键性代码)

public class LoginAuthenticationAttribute : BasicAuthenticationAttribute
    {
        protected override async Task AuthenticateHockAsync(HttpAuthenticationContext context, System.Threading.CancellationToken cancellationToken)
        {
            await Task.Factory.StartNew(() => 
            {
                //解析头信息,获得appid和timestamp
                var header = ...
                //如果未获得上述信息
                if (header == null)
                {
                    context.ErrorResult = new AuthenticationFailureResult(...);
                    return;
                }


                //获得LoginToken
                if (String.IsNullOrWhiteSpace(requestHeaderInfo.LoginToken))
                { //验证凭据是空,设置错误信息
                    context.ErrorResult = new AuthenticationFailureResult(StatusCodeManager.GetStatusInfo("B01", "a002"), context.Request);
                    return;
                }

                //从loginToken的payload中获得account,timestamp(时间戳)
                var payloadDict = JsonWebToken.DecodeToObject(requestHeaderInfo.LoginToken);
                string identifyingCode = Convert.ToString(payloadDict["identifyingCode"]);
                string account = Convert.ToString(payloadDict["account"]);
                string timestamp = Convert.ToString(payloadDict["timestamp"]);
                //从缓存中获得LoginToken
                LoginInfoDAL loginInfoDAL = new LoginInfoDAL(AppSettings.TokenTimeout);
                LoginCacheModel loginInfo = loginInfoDAL.GetLoginInfo(account);
                if (loginInfo == null)
                {
                    context.ErrorResult = new AuthenticationFailureResult(StatusCodeManager.GetStatusInfo("C13", "a002"), context.Request);
                    return;
                }

                //比较客户端传入LoginToken和缓存中的LoginToken的userId
                var payloadDictCache = JsonWebToken.DecodeToObject(loginInfo.LoginToken);
                string identifyingCodeCache = Convert.ToString(payloadDictCache["identifyingCode"]);

                if (identifyingCodeCache != identifyingCode)
                {//不相等,提示在另一台设备登陆
                    context.ErrorResult = new AuthenticationFailureResult(StatusCodeManager.GetStatusInfo("C08", "a002"), context.Request);
                    return;
                }

                //得到密钥
                TokenKeyDAL tokenKeyDAL = new TokenKeyDAL(AppSettings.TokenTimeout);
                string loginTokenKey = tokenKeyDAL.GetTokenKey(account);
                if (string.IsNullOrWhiteSpace(loginTokenKey))
                {
                    context.ErrorResult = new AuthenticationFailureResult(StatusCodeManager.GetStatusInfo("B04","a002"), context.Request);
                    return;
                }

                //验证是否超时,LoginToken是否被篡改
                try
                {
                    //允许的时间段(小时转化为秒)
                    int allowSpan = (int)AppSettings.TokenTimeout.TotalSeconds;
                    JsonWebToken.Validate(requestHeaderInfo.LoginToken, loginTokenKey, allowSpan);
                }
                catch (TokenExpiredException ex)
                {
                    context.ErrorResult = new AuthenticationFailureResult(StatusCodeManager.GetStatusInfo("B03", "a002"), context.Request);
                }
                catch (SignatureVerificationException ex)
                {
                    context.ErrorResult = new AuthenticationFailureResult(StatusCodeManager.GetStatusInfo("B02", "a002"), context.Request);
                }
            });
        }
    }

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏圣杰的专栏

ASP.NET Core 中断请求了解一下(翻译)

假设有一个耗时的Action,在浏览器发出请求返回响应之前,如果刷新了页面,对于浏览器(客户端)来说前一个请求就会被终止。而对于服务端来说,又是怎样呢?前一个请...

413
来自专栏Android研究院

Android组件化专题 - 路由框架进阶模块间的业务通信

上一篇文章,讲解了路由框架实现的原理,并实现了基本的路由框架 页面路由的跳转 Android组件化专题 - 路由框架原理。

612
来自专栏C#

Asp.Net WebApi核心对象解析(一)

    生活需要自己慢慢去体验和思考,对于知识也是如此。匆匆忙忙的生活,让人不知道自己一天到晚都在干些什么,似乎每天都在忙,但又好似不知道自己到底在忙些什...

2337
来自专栏一名合格java开发的自我修养

java观察者模式

 像activeMQ等消息队列中,我们经常会使用发布订阅模式,但是你有没有想过,客户端时如何及时得到订阅的主题的信息?其实就里就用到了观察者模式。在软件系统中...

882
来自专栏开发之途

Android IPC机制(2)-AIDL

1244
来自专栏林德熙的博客

dot net core 使用 usb

首先需要打开 Nuget 安装 CoreCompat.LibUsbDotNet ,这是一个usb连接的库。

645
来自专栏cloudskyme

大话企业级android读书笔记(二)

Android的四大组件 android的管理员:Activity 用户想在屏幕上做什么,怎么处理用户做出不同的操作都由该Activity来管理和调度。 所有有...

3075
来自专栏Google Dart

Dart服务器端 shelf包 原

handler是处理shelf.Request并返回shelf.Response的任何函数。它可以处理请求本身 - 例如,在文件系统上查找请求的URI的静态文件...

621
来自专栏求索之路

从零开始撸一个Fresco之硬盘缓存

转载请注明出处 Fresco源代码文档翻译项目请看这里:Fresco源代码文档翻译项目 硬盘缓存是android图片框架中比较重要的一个模块,Fresco...

2886
来自专栏.NET后端开发

ADO.NET入门教程(四) 品味Connection对象

摘要 前几篇文章,我都没有详细讲解Data Provider核心对象,因为我希望在讲解这些对象之前,让大家对一些基础的概念有很好的认识。在上一篇文章《你必须知道...

3366

扫描关注云+社区