Wie Bearer-Token in Authentifizierungs-Cookie für MVC-App

Question

konvertieren Ich habe eine 3-Tier-Anwendungsstruktur. Es gibt eine cordova js-Anwendung für Endbenutzer, eine Implementierung von identityserver3, die als OpenID-Berechtigung dient, und eine MVC-Anwendung, auf die über einen In-App-Browser in der cordova-Anwendung zugegriffen wird.

Der Einstiegspunkt für Benutzer ist die cordova App. Sie melden sich dort über einen In-App-Browser an und können dann auf Anwendungsfunktionen zugreifen oder auf einen Link klicken, um den In-App-Browser zu öffnen und die MVC-App aufzurufen.

Unsere Strategie der MVC Website zur Sicherung war Inhaber Token-Authentifizierung zu verwenden, da wir schon einmal aus der App angemeldet und wollten nicht den Benutzer aufzufordern, sich wieder anmelden, wenn sie in dem MVC-app gerichtet waren:

app.Map("/account", account => 
{ 
    account.UseIdentityServerBearerTokenAuthentication(new IdentityServer3.AccessTokenValidation.IdentityServerBearerTokenAuthenticationOptions() 
    { 
     Authority = "https://localhost:44333/core", 
     RequiredScopes = new string[] { "scope" }, 
     DelayLoadMetadata = true, 
     TokenProvider = new QueryStringOAuthBearerProvider(), 
     ValidationMode = ValidationMode.ValidationEndpoint, 
    }); 
} 

die access_token auf dem Query-String Seit persistierende schmerzhaft ist, implementiert ich einen benutzerdefinierten OAuthBearerAuthenticationProvider:

public class QueryStringOAuthBearerProvider : OAuthBearerAuthenticationProvider 
{ 
    private static ILog logger = LogManager.GetLogger(typeof(QueryStringOAuthBearerProvider)); 
    public override Task RequestToken(OAuthRequestTokenContext context) 
    { 
     logger.Debug($"Searching for query-string bearer token for authorization on request {context.Request.Path}"); 

     string value = GetAccessTokenFromQueryString(context.Request); 

     if (!string.IsNullOrEmpty(value)) 
     { 
      context.Token = value; 
      //Save the token as a cookie so the URLs doesn't need to continue passing the access_token 
      SaveAccessTokenToCookie(context.Request, context.Response, value); 
     } 
     else 
     { 
      //Check for the cookie 
      value = GetAccessTokenFromCookie(context.Request); 
      if (!string.IsNullOrEmpty(value)) 
      { 
       context.Token = value; 
      } 
     } 

     return Task.FromResult<object>(null); 
    } 
    [cookie access methods not very interesting] 
} 

Dies funktioniert, und ermögliche es die MVC-Anwendung nicht das Zugriffstoken in jede Anfrage bestehen, aber s das Zugriffstoken als nur ein generisches Cookie zu behandeln, scheint falsch zu sein.

Was ich stattdessen wirklich tun möchte, ist die Verwendung des Zugriffstokens, um mit dem OpenID-Endpunkt zu arbeiten und einen Forms-Auth-Stil-Cookie auszugeben, der auf Abmeldung reagiert. Ich habe gefunden, dass ich account.UseOpenIdConnectAuthentication(..) hinzufügen kann, aber wenn ich über access_token authentifiziere, werden die OpenIdConnectAuthentication Bits einfach übersprungen. Irgendwelche Ideen?

Answer 1

Sie nicht - Access-Tokens sind für den Aufruf von Web-Apis konzipiert. Sie verwenden das ID_Token von OIDC, um den Benutzer zu authentifizieren, und aus den Ansprüchen, in denen Sie sich befinden, geben Sie Ihr lokales Authentifizierungs-Cookie aus. Die Microsoft OpenIdConnect-Authentifizierungs-Middleware wird das meiste dieses schweren Hebens für Sie erledigen.