ASP.NET Core Authentication and Authorization
最近把一个asp .net core 2.0的项目迁移到asp .net core 3.1，项目启动的时候直接报错:
invalidoperationexception: endpoint coreauthorization.controllers.homecontroller.index (coreauthorization) contains authorization metadata, but a middleware was not found that supports authorization. configure your application startup by adding app.useauthorization() inside the call to configure(..) in the application startup code. the call to app.useauthorization() must appear between app.userouting() and app.useendpoints(...). microsoft.aspnetcore.routing.endpointmiddleware.throwmissingauthmiddlewareexception(endpoint endpoint)
看意思是缺少了一个authorization的中间件，这个项目在asp.net core 2.0上是没问题的。
startup是这样注册的：
public class startup
{
public startup(iconfiguration configuration)
{
configuration = configuration;
}
public iconfiguration configuration { get; }
// this method gets called by the runtime. use this method to add services to the container.
public void configureservices(iservicecollection services)
{
services.addauthentication(cookieauthenticationdefaults.authenticationscheme).addcookie(options =>
{
options.loginpath = "/account/login";
});
services.addcontrollerswithviews();
}
// this method gets called by the runtime. use this method to configure the http request pipeline.
public void configure(iapplicationbuilder app, iwebhostenvironment env)
{
if (env.isdevelopment())
{
app.usedeveloperexceptionpage();
}
else
{
app.useexceptionhandler("/home/error");
// the default hsts value is 30 days. you may want to change this for production scenarios, see https://aka.ms/aspnetcore-hsts.
app.usehsts();
}
//app.usehttpsredirection();
app.usestaticfiles();
app.userouting();
app.useauthentication();
app.useendpoints(endpoints =>
{
endpoints.mapcontrollerroute(
name: "default",
pattern: "{controller=home}/{action=index}/{id?}");
});
}
}
查了文档后发现3.0的示例代码多了一个useauthorization，改成这样就可以了：
app.userouting();
app.useauthentication();
//use授权中间件
app.useauthorization();
app.useendpoints(endpoints =>
{
endpoints.mapcontrollerroute(
name: "default",
pattern: "{controller=home}/{action=index}/{id?}");
});
看来asp .net core 3.1的认证跟授权又不太一样了，只能继续看文档学习了。
useauthentication and useauthorization
先说一下authentication跟authorization的区别。这两个单词长的十分相似，而且还经常一起出现，很多时候容易搞混了。
- authentication是认证，明确是你谁，确认是不是合法用户。常用的认证方式有用户名密码认证。
- authorization是授权，明确你是否有某个权限。当用户需要使用某个功能的时候，系统需要校验用户是否需要这个功能的权限。
所以这两个单词是不同的概念，不同层次的东西。useauthorization在asp.net core 2.0中是没有的。在3.0之后微软明确的把授权功能提取到了authorization中间件里，所以我们需要在useauthentication之后再次useauthorization。否则，当你使用授权功能比如使用[authorize]属性的时候系统就会报错。
authentication（认证）
认证的方案有很多，最常用的就是用户名密码认证，下面演示下基于用户名密码的认证。新建一个mvc项目，添加accountcontroller：
[httppost]
public async task<iactionresult> login(
[fromform]string username, [fromform]string password
)
{
//validate username password
...
var claims = new list<claim>
{
new claim(claimtypes.name, username),
new claim(claimtypes.role, "老师")
};
var claimsidentity = new claimsidentity(
claims, cookieauthenticationdefaults.authenticationscheme);
await httpcontext.signinasync(
cookieauthenticationdefaults.authenticationscheme,
new claimsprincipal(claimsidentity));
return redirect("/");
}
public async task<iactionresult> logoff()
{
await httpcontext.signoutasync();
return redirect("login");
}
public iactionresult accessdenied()
{
return content("accessdenied");
}
修改login.cshtml
@{
viewdata["title"] = "login page";
}
<h1>
login page
</h1>
<form method="post">
<p>
用户名: <input name="username" value="administrator" />
</p>
<p>
密码: <input name="password" value="123" />
</p>
<p>
<button>登录</button>
</p>
</form>
从前台传入用户名密码后进行用户名密码校验（示例代码省略了密码校验）。如果合法，则把用户的基本信息存到一个claim list里，并且指定cookie-base的认证存储方案。最后调用signinasync把认证信息写到cookie中。根据cookie的特性，接来下所有的http请求都会携带cookie，所以系统可以对接来下用户发起的所有请求进行认证校验。claim有很多翻译，个人觉得叫“声明”比较好。一单认证成功，用户的认证信息里就会携带一串claim，其实就是用户的一些信息，你可以存任何你觉得跟用户相关的东西，比如用户名，角色等，当然是常用的信息，不常用的信息建议在需要的时候查库。调用httpcontext.signoutasync()方法清除用户登认证信息。
claims信息我们可以方便的获取到：
@{
viewdata["title"] = "home page";
}
<h2>
coreauthorization
</h2>
<p>
@context.user.findfirst(system.security.claims.claimtypes.name)?.value
</p>
<p>
角色:
@foreach (var claims in context.user.claims.where(c => c.type == system.security.claims.claimtypes.role))
{
<span> @claims.value </span>
}
</p>
<p>
<a href="/student/index">/student/index</a>
</p>
<p>
<a href="/teacher/index">/teacher/index</a>
</p>
<p>
<a href="/teacher/edit">/student/edit</a>
</p>
<p>
<a href="/account/logoff">退出</a>
</p>
改一下home/index页面的html，把这些claim信息展示出来。
以上就是一个基于用户名密码以及cookie的认证方案。
authorization（授权）
有了认证我们还需要授权。刚才我们实现了用户名密码登录认证，但是系统还是没有任何管控，用户可以随意查库任意页面。现实中的系统往往都是某些页面可以随意查看，有些页面则需要认证授权后才可以访问。
authorizeattribute
当我们希望一个页面只有认证后才可以访问，我们可以在相应的controller或者action上打上authorizeattribute这个属性。修改homecontroller：
[authorize]
public class homecontroller : controller
{
public iactionresult index()
{
return view();
}
}
重新启动网站，如果没有登录，访问home/index的时候网站会跳转到/account/accessdenied。如果登录后则可以正常访问。authorizeattribute默认授权校验其实是把认证跟授权合为一体了，只要认证过，就认为有授权，这是也是最最简单的授权模式。
基于角色的授权策略
显然上面默认的授权并不能满足我们开发系统的需要。authorizeattribute还内置了基于role（角色）的授权策略。
登录的时候给认证信息加上角色的声明：
[httppost]
public async task<iactionresult> login(
[fromform]string username,
[fromform]string password
)
{
//validate username password
var claims = new list<claim>
{
new claim(claimtypes.name, username),
new claim(claimtypes.role, "老师"),
};
var claimsidentity = new claimsidentity(
claims, cookieauthenticationdefaults.authenticationscheme);
await httpcontext.signinasync(
cookieauthenticationdefaults.authenticationscheme,
new claimsprincipal(claimsidentity));
return redirect("/");
}
新建一个teachercontroller：
[authorize(roles = "老师")]
public class teachercontroller : controller
{
public iactionresult index()
{
return content("teacher index");
}
}
给authorizeattribute的属性设置roles=老师，表示只有老师角色的用户才可以访问。如果某个功能可以给多个角色访问那么可以给roles设置多个角色，使用逗号进行分割。
[authorize(roles = "老师,校长")]
public class teachercontroller : controller
{
public iactionresult index()
{
return content("teacher index");
}
}
这样认证的用户只要具有老师或者校长其中一个角色就可以访问。
基于策略的授权
上面介绍了内置的基于角色的授权策略。如果现实中需要更复杂的授权方案，我们还可以自定义策略来支持。比如我们下面定义一个策略：编辑功能只能姓王的老师可以访问。
定义一个要求：
public class lastnamrequirement : iauthorizationrequirement
{
public string lastname { get; set; }
}
iauthorizationrequirement其实是一个空接口，仅仅用来标记，继承这个接口就是一个要求。这是空接口，所以要求的定义比较宽松，想怎么定义都可以，一般都是根据具体的需求设置一些属性。比如上面的需求，本质上是根据老师的姓来决定是否授权通过，所以把姓作为一个属性暴露出去，以便可以配置不同的姓。
除了要求，我们还需要实现一个authorizationhandler：
public class lastnamehandler : authorizationhandler<iauthorizationrequirement>
{
protected override task handlerequirementasync(authorizationhandlercontext context, iauthorizationrequirement requirement)
{
var lastnamerequirement = requirement as lastnamrequirement;
if (lastnamerequirement == null)
{
return task.completedtask;
}
var isteacher = context.user.hasclaim((c) =>
{
return c.type == system.security.claims.claimtypes.role && c.value == "老师";
});
var iswang = context.user.hasclaim((c) =>
{
return c.type == "lastname" && c.value == lastnamerequirement.lastname;
});
if (isteacher && iswang)
{
context.succeed(requirement);
}
return task.completedtask;
}
}
authorizationhandler是一个抽象类，继承它后需要重写其中的handlerequirementasync方法。这里才是真正判断是否授权成功的地方。要求（requirement）跟用户的声明（claim）信息会被传到这方法里，然后我们根据这些信息进行判断，如果符合授权就调用context.succeed方法。这里注意如果不符合请谨慎调用context.failed方法，因为策略之间一般是or的关系，这个策略不通过，可能有其他策略通过。
在configureservices方法中添加策略跟注册authorizationhandler到di容器中：
services.addsingleton<iauthorizationhandler, lastnamehandler>();
services.addauthorization(options =>
{
options.addpolicy("王老师", policy =>
policy.addrequirements(new lastnamrequirement { lastname = "王" })
);
});
使用addsingleton生命周期来注册lastnamehandler，这个生命周期并不一定要单例，看情况而定。在addauthorization中添加一个策略叫"王老师"。这里有个个人认为比较怪的地方，为什么authorizationhandler不是在addauthorization方法中配置？而是仅仅注册到容器中就可以开始工作了。如果有一个需求，仅仅是需要自己调用一下自定义的authorizationhandler，而并不想它真正参与授权。这样的话就不能使用di的方式来获取实例了，因为一注册进去就会参与授权的校验了。
在teachercontroller下添加一个 edit action：
[authorize(policy="王老师")]
public iactionresult edit()
{
return content("edit success");
}
给authorizeattribute的policy设置为“王老师”。
修改login方法添加一个姓的声明：
[httppost]
public async task<iactionresult> login(
[fromform]string username,
[fromform]string password
)
{
//validate username password
var claims = new list<claim>
{
new claim(claimtypes.name, username),
new claim(claimtypes.role, "老师"),
new claim("lastname", "王"),
};
var claimsidentity = new claimsidentity(
claims, cookieauthenticationdefaults.authenticationscheme);
await httpcontext.signinasync(
cookieauthenticationdefaults.authenticationscheme,
new claimsprincipal(claimsidentity));
return redirect("/");
}
运行一下程序，访问一下/teacher/edit，可以看到访问成功了。如果修改login方法，修改lastname的声明为其他值，则访问会拒绝。
使用泛型func方法配置策略
如果你的策略比较简单，其实还有个更简单的方法来配置，就是在addauthorization方法内直接使用一个func来配置策略。
使用func来配置一个女老师的策略：
options.addpolicy("女老师", policy =>
policy.requireassertion((context) =>
{
var isteacher = context.user.hasclaim((c) =>
{
return c.type == system.security.claims.claimtypes.role && c.value == "老师";
});
var isfemale = context.user.hasclaim((c) =>
{
return c.type == "sex" && c.value == "女";
});
return isteacher && isfemale;
}
)
);
总结
- authentication跟authorization是两个不同的概念。authentication是指认证，认证用户的身份；authorization是授权，判断是否有某个功能的权限。
- authorization内置了基于角色的授权策略。
- 可以使用自定义authorizationhandler跟func的方式来实现自定义策略。
吐槽
关于认证跟授权微软为我们考虑了很多很多，包括identityserver，基本上能想到的都有了，什么oauth，openid，jwt等等。其实本人是不太喜欢用的。虽然微软都给你写好了，考虑很周到，但是学习跟trouble shooting都是要成本的。其实使用中间件、过滤器再配合redis等组件，很容易自己实现一套授权认证方案，*度也更高，有问题修起来也更快。自己实现一下也可以更深入的了解某项的技术，比如jwt是如果工作的，oauth是如何工作的，这样其实更有意义。