这几天时间一直在研究怎么实现自己的OAuth2服务器，对于太了解OAuth原理以及想自己从零开始实现的，我建议可以参考《Apress.Pro ASP.NET Web API Security》里面的章节。最后发现其实微软在这方面也已经做了实现，所以文介绍下怎么基于OWIN来实现自己的OAuth2.0授权服务器，，以及怎么使用DotNetOpenAuth作为客户端来访问受保护的资源。 OWIN是一套specification，微软的Katana开源项目是基于OWIN标准开发的，所以本本文更准确的说是用katana来实现OAuth2.0授权服务器。DotNetOpenAuth也是一个非常优秀的框架，它也可以实现OAuth2.0服务器，本文是用这个框架来做客户端。更多的关于Owin, OAuth等标准和框架，不是本文的重点，您可以自己查阅一些相关资料。本文假设您已经对OAuth,OWIN已经有一定的了解。
利用微软的OWIN搭建OAuth非常简单，具体步骤如下：
- 先创建一个ASP.NET项目，最简单直接的的方式是创建一个MVC项目并且在身份验证时选择Individual User Accounts，这样会自动将OWIN相关的DLL加入到项目
- 接下来找到App_Start文件夹下面的Startup.Auth.cs文件，加入如下代码
：（不知道为什么插入代码的时候我不能折叠:( ）
//创建OAuth授权服务器 app.UseOAuthAuthorizationServer(new Microsoft.Owin.Security.OAuth.OAuthAuthorizationServerOptions() { AuthorizeEndpointPath = new PathString("/OAuth/Authorize"), TokenEndpointPath = new PathString("/OAuth/Token"), AccessTokenExpireTimeSpan=TimeSpan.FromMinutes(1), Provider = new OAuthAuthorizationServerProvider() { OnValidateClientRedirectUri = context => { context.Validated(); return Task.FromResult(0); }, OnValidateClientAuthentication = context => { string clientId; string clientSecret; if (context.TryGetBasicCredentials(out clientId, out clientSecret) || context.TryGetFormCredentials(out clientId, out clientSecret)) context.Validated(); return Task.FromResult(0); } }, AuthorizationCodeProvider = new AuthenticationTokenProvider() { OnCreate = context => { context.SetToken(DateTime.Now.Ticks.ToString()); string token = context.Token; string ticket = context.SerializeTicket(); _authenticationCodes[token] = ticket; }, OnReceive = context => { string token = context.Token; string ticket; if (_authenticationCodes.TryRemove(token, out ticket)) { context.DeserializeTicket(ticket); } }, }, RefreshTokenProvider = new AuthenticationTokenProvider() { OnCreate = context => { context.SetToken(context.SerializeTicket()); }, OnReceive = context => { context.DeserializeTicket(context.Token); }, } });
其中AuthorizeEndpointPath是授权终结点，这个需要自己去写实现逻辑，等会会介绍。TokenEndpointPath是生成Token的终结点，这个不需要我们写额外的逻辑了，因为Token的生成涉及到很多方面，例如序列化反序列加密解密等逻辑，所以框架默认已经帮我们做好了。 Provider里面是用来验证客户端跳转地址和客户端验证，我这里实现比较简单，全部都验证通过，正确的做法应该是先判断客户端发送过来的ClientID是否合法，如果合法则验证通过。AuthorizationCodeProvider是对于Authorize Code模式而言的（我等会客户端访问只接受这种模式，也是最负责的一种，其他三种模式Implicit,Client,Resource相对比较简单，就不在这里介绍了，有兴趣的同学可以线下联系)，里面的两个Action委托顾名思义一个是创建Code，一个是用Code来来交换Token。最后是RefreshTokenProvider
- 接下来就看下授权终结点，这里的逻辑需要自己来处理
public ActionResult Authorize() { IAuthenticationManager authentication= HttpContext.GetOwinContext().Authentication; AuthenticateResult ticket = authentication.AuthenticateAsync(DefaultAuthenticationTypes.ApplicationCookie).Result; ClaimsIdentity identity = ticket == null ? null : ticket.Identity; if (identity == null) { //如果没有验证通过，则必须先通过身份验证，跳转到验证方法 authentication.Challenge(DefaultAuthenticationTypes.ApplicationCookie); return new HttpUnauthorizedResult(); } identity = new ClaimsIdentity(identity.Claims, "Bearer"); //hardcode添加一些Claim，正常是从数据库中根据用户ID来查找添加 identity.AddClaim(new Claim(ClaimTypes.Role, "Admin")); identity.AddClaim(new Claim(ClaimTypes.Role, "Normal")); identity.AddClaim(new Claim("MyType", "MyValue")); authentication.SignIn(new AuthenticationProperties() { IsPersistent=true }, identity); return View(); }
通常来说，客户端发送到授权终结点的请求是会被OWIN截取跳转到第二步中注册的 OnValidateClientRedirectUri委托，如果验证通过再跳转到授权终结点，这里首先看当前用户是否已经验证通过（Authentication），如果没有则跳转到验证终结点，注意这里的方法authentication.Challenge(DefaultAuthenticationTypes.ApplicationCookie)中的参数，名称必须要和Startup.Auth.cs中app.UseCookieAuthentication内定义的AuthenticationType一样，否则无法跳转到在app.UseCookieAuthentication内注册的LoginPath终结点
- 验证节点（Authentication）代码
[HttpPost] [AllowAnonymous] [ValidateAntiForgeryToken] public ActionResult Login(LoginViewModel model, string returnUrl) { if (!ModelState.IsValid) { return View(model); } if (_userManagerService.VerifyUser(model.Email, model.Password)) { AppUser user = UserManager.FindByName(model.Email); //可以在这里将用户所属的role或者Claim添加到此 ClaimsIdentity claims = new ClaimsIdentity(new[] { new Claim(ClaimTypes.Name, user.UserName) ,new Claim(ClaimTypes.NameIdentifier,user.Id) ,new Claim("http://schemas.microsoft.com/accesscontrolservice/2010/07/claims/identityprovider",user.Id)}, DefaultAuthenticationTypes.ApplicationCookie); AuthenticationProperties properties = new AuthenticationProperties { IsPersistent = true }; ClaimsPrincipal principal = new ClaimsPrincipal(claims); //System.Threading.Thread.CurrentPrincipal = principal; this.AuthenticationManager.SignIn(properties, new[] { claims }); return RedirectToLocal(returnUrl); } else { ModelState.AddModelError("", "Invalid login attempt."); return View(model); } }
通过第三步首先会进入到Login的Get方法（这里没有贴出来，因为只是返回试图而已），然后用户通过输入正确的用户名和密码通过验证后，再为用户添加代码中所示的Claim，注意如果你的代码中加入了[ValidateAntiForgeryToken]特性，那么需要加入NameIdentifier，identityprovider两个声明，否则会报错。最后再调用SignIn方法（我没有仔细去看这个方法的代码，但是我认为这里应该至少会有对System.Threading.Thread.CurrentPrincipal进行赋值，确保验证通过）然后再次跳转到授权节点，再次执行第三步的代码，这是identity就不为空了，我这里重新构造了Identity，注意这里的AuthenticationType需要为“Bearer”，这是告诉OAuth生成Token的关键。最后再进行SignIn，此时会执行第二步中注册的Authorize Code生成方法，生成Code后会回跳到客户端的注册的RedirectUrl，客户端此时就可以拿着Code来换Token了，具体也就是执行第二步中注册的OnReceive方法
- 好了，整个服务器授权逻辑差不多就是这样了，当然我这里为了简单没有去实现Scope的Grant，如果要做可以在授权终结点里进行实现
- 下面来看看客户端怎么实现的，首选需要说明一点如果是.NET的WEB客户端可以使用DotNetOpenOAuth，通过Nuget就可以获取，比较简单，如果是其他手机设备等则可以通过ImplicitGrant模式通过javascript脚本来做，implicitgrant是authorize code的而一个简化版，省略了code交互这些步骤，直接从服务器拿Token，而且客户端是能直接看到Token的，但是authorize code客户端是看不到的，只有客户端所在的web server才能看到，所以也就更安全。
- 我在客户端自己稍微对DNOA做了下封装，代码有点长，所以就只看下几个核心方法
public string[] scopes { get; set; } public string redirectUri { get; set; } public IAuthorizationState AuthorizationState = null; private string AuthorizationEndpoint, TokenEndpoint, ClientId, ClientKey; private AuthorizationServerDescription authServer = null; private WebServerClient oauthWebClient = null; public OAuthClient() { AuthorizationEndpoint = System.Configuration.ConfigurationManager.AppSettings.Get("AuthorizeEndpoint"); TokenEndpoint = System.Configuration.ConfigurationManager.AppSettings.Get("TokenEndpoint"); ClientKey = System.Configuration.ConfigurationManager.AppSettings.Get("ClientKey"); ClientId = System.Configuration.ConfigurationManager.AppSettings.Get("ClientID"); authServer = new AuthorizationServerDescription { AuthorizationEndpoint = new Uri(AuthorizationEndpoint), TokenEndpoint = new Uri(TokenEndpoint) }; oauthWebClient = new WebServerClient(authServer, clientIdentifier: ClientId, clientSecret:ClientKey); AuthorizationState = new AuthorizationState(); }
比较重要的就是WebServerClient这个对象了，封装了对授权服务器访问的所有方法，对它初始化需要告诉它的授权和Token终结点，ClientID，ClientSecret（这两个值正常做法是授权服务器颁给的，和新浪，腾讯等一样）
- 初始化好了后就可以开始访问了，因为我们是使用authorize code，所以这里调用的
oauthWebClient.RequestUserAuthorization(scopes, new Uri(redirectUri));传入你要访问资源的范围和回调的URL（通常就是发起的action），获得Code后就可以服务器会把code值作为参数写入到Request的querystring中，所以我们可以下面方式来检查code是否已经存在
if (request.Url.AbsoluteUri.Contains(redirectUri)) { if (!string.IsNullOrEmpty(request.Params["code"])) { return true; } }
如果code存在就可以用code来换Token了，马上就会大功告成了。。
public void GetAccessToken(HttpRequestBase Requst, out string token) { if (CheckCodeExist(Requst)) { AuthorizationState = oauthWebClient.ProcessUserAuthorization(); if (AuthorizationState != null) { if (!string.IsNullOrEmpty(AuthorizationState.AccessToken)) { token = AuthorizationState.AccessToken; return; } } } GetAuthrizationCode(); token = null; }
最关键的方法就是AuthorizationState = oauthWebClient.ProcessUserAuthorization()；通过它我们就可以拿到token相关的信息了，例如AccessToken, RefreshToken,Token过期时间等
- 接下来就是用Token去访问资源服务器上的资源了，访问之前，我们先要对资源服务器同样要加入OWIN的支持，由于我采用的IISHost，需要加入下列组件microsoft.owin,micorsoft.owin.host.systemweb, microsoft.owin.security,microsoft.owin.oauth，通过Nuget获取既可，不做多介绍，这时应该会有Startup.cs文件自动加进来，我们在里面加上下面代码：
public partial class Startup { public void Configuration(IAppBuilder app) { app.UseOAuthBearerAuthentication(new Microsoft.Owin.Security.OAuth.OAuthBearerAuthenticationOptions()); } }
这里就是使用Bearer验证，具体逻辑是拿到请求头里的Bearer验证带来的Token，如果token是合法的，那么OWIN对token进行解析反序列化出来对等的claim，并且通过验证，还可以进一步根据claim来判断当前用户是否有权限来相应的资源，如下（用户必须是Admin角色，否则会401）：
[Authorize] [HttpGet] [Route("api/car/protect")] public string ProtectedResource() { ClaimsPrincipal principal = Thread.CurrentPrincipal as ClaimsPrincipal; var isInRole= principal.IsInRole("Admin"); return "you have the right now to access me!"; }
另外需要注意点的是，如果你需要实现单点登录之类的功能或者是访问多台资源服务器，那么需要保证不同的资源服务器使用的都是相同加密解密机制，这个可以通过在web.config里设置machiekey来实现，关于machine key这里就不说了
- 回到刚才9步中说到的客户端访问资源，很简单，我是通过httpclient做了个简单的访问实现，具体如下，关键就是将token以Bearer方式添加到验证头，就不多复述了
string msg=""; using (HttpClient httpClient = new HttpClient()) { httpClient.DefaultRequestHeaders.Authorization = new System.Net.Http.Headers.AuthenticationHeaderValue("Bearer", token); httpClient.DefaultRequestHeaders.Accept.Add(new System.Net.Http.Headers.MediaTypeWithQualityHeaderValue("application/json")); if (method.ToUpper() == "POST") { StringContent content = new StringContent(jsonStr); content.Headers.ContentType = new System.Net.Http.Headers.MediaTypeHeaderValue("application/json"); foreach (var address in resourceAddress) { var responseMsg = httpClient.PostAsync(address, content).Result; if (responseMsg.IsSuccessStatusCode) { msg += responseMsg.Content.ReadAsStringAsync().Result; ; } } } else { foreach (var address in resourceAddress) { var responseMsg = httpClient.GetAsync(address).Result; if (responseMsg.IsSuccessStatusCode) { msg += responseMsg.Content.ReadAsStringAsync().Result; ; } } }
现在整个授权服务器，资源服务器，客户端基本都实现了。
第一次写博，原以为最多一个小时可以搞定，没想到快四个小时了，所以没时间来检查以及弄排版样式啥的了，写博客还真不是容易的事啊。