ASP.Net web api Vs .Net核心web api

Asp.net 核心 Web api - 当 Web api 针对 Azure AD 验证 JWT 令牌时，幕后会发生什么

我假设您对 OIDC 流程和索赔类型有所了解。

Azure AD 发现文档位于固定位置，如果您拥有租户 ID (https://login.microsoftonline.com/{tenantId|'common'}/v2.0/.well-known/openid-configuration)，则该文档是已知的。这与客户端 ID 相结合是完成隐式身份验证流程所需的全部内容。

一旦请求具有带有 Bearer 架构的授权标头，中间件就会开始解码令牌。在令牌的标头中，散列和签名的类型与使用的密钥 ID 一起注明。在正文中，您将拥有这些声明。如果提供的声明有效，则中间件将执行此操作。它至少检查：

• 如果授权声明与发现文档中定义的发布者匹配。
• 通过使用当前时间验证 not before 和 valid until 声明，声明仍然有效
• 颁发者应与配置的客户端 ID 匹配。

然后它将使用令牌头部中指定的哈希算法，对头部和主体进行哈希处理。使用标题中的密钥 ID，它将查找发现文档发布的公钥（jwks_url 将列出所有已知的公钥）。要加密哈希，该结果应与由该密钥的私有部分创建的所提供令牌的页脚签名相匹配。

如果所有这些都是有效的，那么中间件将使用此令牌的列表向声明主体添加一个身份，并将其标记为已验证。它不会在应用程序中做任何授权。这由应用程序中的下一层处理。

如果令牌无效，可能是过期、错误的权限或错误的签名。中间件不会抛出错误。它只是没有在主体中注册声明，并且用户保持匿名。

这是一个粗略的解释，对于任何 JWT 不记名身份验证背景中发生的情况，可能不是 100% 准确。 Azure AD 将遵循相同的流程，只是配置细节略有不同。

我认为您需要在 Azure 中注册两个应用程序，一个代表 client application，另一个代表 web api application（即服务器应用程序）。然后使用用户登录客户端应用程序完成授权并获取访问令牌，然后客户端应用程序使用访问令牌调用api应用程序。

大致流程如下：web api收到访问令牌时，首先需要过滤器拦截令牌，然后解析令牌并验证令牌中的一些关键声明，例如：aud， sub,scp... 验证令牌中的声明后，后端应用程序将资源返回给前端。

过滤案例：

package com.example.demo;

 

import java.io.IOException;
import java.util.Arrays;
import java.util.Date;
import java.util.HashMap;
import java.util.List;
import java.util.Map;

 

import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.annotation.WebFilter;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

 

import com.alibaba.fastjson.JSONObject;
import com.auth0.jwt.JWT;
import com.auth0.jwt.exceptions.JWTDecodeException;
import com.auth0.jwt.interfaces.Claim;
import com.auth0.jwt.interfaces.DecodedJWT;

 

//@Component
@WebFilter(filterName = "AdHelloFilter",urlPatterns = {"/ad/*"})
public class AdHelloFilter implements Filter  {

 

    @Override
    public void doFilter(ServletRequest request,ServletResponse response,FilterChain filterChain)
            throws IOException,ServletException {
        
        HttpServletRequest httpRequest = (HttpServletRequest) request;
        HttpServletResponse httpResponse= (HttpServletResponse) response;
        
        final String requestTokenHeader = httpRequest.getHeader("Authorization");
        if (requestTokenHeader != null && requestTokenHeader.startsWith("Bearer ")) {
            String jwtToken = requestTokenHeader.substring(7);
            try {
                DecodedJWT jwt = JWT.decode(jwtToken);
                //judge if expired
                Date expiresAt = jwt.getExpiresAt();
                if(expiresAt.before(new Date())) {
                    Map<String,Object> errRes = new HashMap<String,Object>();
                    Map<String,Object> errMesg = new HashMap<String,Object>();
                    errMesg.put("code","InvalidAuthenticationToken");
                    errMesg.put("message","Access token has expired.");
                    errRes.put("error",errMesg);
                    String json = JSONObject.toJSONString(errRes);   
                    httpResponse.sendError(HttpServletResponse.SC_UNAUTHORIZED,json);
                    return;
                }
                //judge if has specific scope
                Claim a = jwt.getClaim("scp");
                String scope = a.asString();
                String[] scopeArr = scope.split(" ");
                List<String> scopeList= Arrays.asList(scopeArr);
                if(!(scopeList.contains("User.Read") && scopeList.contains("Mail.Read"))) {
                    Map<String,"Unauthorized,pls add api permission");
                    errRes.put("error",errMesg);
                    String json = JSONObject.toJSONString(errRes);   
                    httpResponse.sendError(HttpServletResponse.SC_FORBIDDEN,json);
                    return;
                }
            } catch (JWTDecodeException exception){
                System.out.println("Unable to Decode the JWT Token");
            }
        } else {
            httpResponse.sendError(HttpServletResponse.SC_UNAUTHORIZED);
            return;
        }
        filterChain.doFilter(request,response);
    }
    
    @Override
    public void init (FilterConfig filterConfig) throws ServletException{
        System.out.println("init filter");
    }
    
    @Override
    public void destroy() {}
}

查看一个简单的 sample。

关于C＃EF核心Web Api扩展在实体上为空的问题就给大家分享到这里，感谢你花时间阅读本站内容，更多关于.net核心webapi启动时如何预加载数据？、.NET核心Web应用程序的基于APIGEE和AUTH Sys的单点登录（SSO）、ASP.Net web api Vs .Net核心web api、Asp.net 核心 Web api - 当 Web api 针对 Azure AD 验证 JWT 令牌时，幕后会发生什么等相关知识的信息别忘了在本站进行查找喔。