Wie für die Verwendung von OAuth mit Forms-auth

Welche Lösungen es gibt für die Kombination einer Form-auth mittels OAuth-auth ?

Anwendungsfall:

Gibt es eine website, wo ein Benutzer-login mit einem Benutzername und Passwort und nachdem er auth-token zur Verfügung gestellt werden, die es ermöglicht, Zugang zu verschiedenen Ressourcen, die Sie in der app für einen Zeitraum von Zeit.

Nun der Product Owner wollen die Facebook/Twitter/... Auth.

Posible Lösungen:

Wie für die Verwendung von OAuth mit Forms-auth

edit sequence Diagramm

InformationsquelleAutor Daniel | 2014-05-21
  1. 12

    Wir tatsächlich tun dies auf unser Projekt. Die Lösung war wirklich einfach. Hier wurden die wichtigsten Punkte

    • Beachten Sie, dass der OAuth-Spezifikation empfiehlt gegen die Speicherung der oauth-bearer-token auf dem client.
    • Stellen Sie sicher, es ist der app-server ist, dass die auth-Anfragen an den oauth provider. Tun Sie es nicht vom client (außer auf der Ermächtigung Schritt, weil Sie nicht wirklich eine Wahl).
    • Nutzen Rahmen. Lassen Sie den Mitgliedschaftsanbieter Griff Authentifizierung ticketing.
    • Erstellen Sie Ihre benutzerdefinierten Mitgliedschaftsanbieter und haben es der Verwaltung der auth-Prozess mit Ihrem 3rd-party-Anbieter.
    • Einmal auth erfolgreich ist, speichert das Token in der session oder in einem Anspruch, der mit der Benutzer-Identität. In anderen Worten, halten Sie die access-und refresh-tokens auf dem server.
    • Ermöglichen, den Rahmen zu generieren auth-ticket, wie es das normal tun würde
    • Zwischen den auth-ticket und den session-cookie, Sie können rufen Sie die access-token aus der session/Forderung für die Herstellung von ressourcenanfragen.
    • Beim zuordnen der 3rd-party anmelden, erhalten Sie natürlich haben, um einen Anruf mit dem access-token des Anbieters, um sich einige Infos Holen, wie ein facebook-Benutzer-id. Verwenden, verknüpfen Sie Ihre internen Benutzer mit der facebook-Benutzer.

    Andere Dinge zu beachten:

    • Stellen Sie sicher, zerstören Sie die Sitzung auf Abmelden. Mehrere frameworks leeren die cookie-Werte, sondern recyceln Sie die session-id. Stellen Sie sicher, dass die session-id nicht recycelt werden.
    • Verwenden Sie ein anti-forgery token mit jeder Anfrage, die erfordert, dass session-info, die sollten nur über alles. Dies wird Ihnen helfen, sicherzustellen, dass der session-cookie nicht entführt.

    Nun, ich denke, das ist ein wichtiger Punkt: in der Regel, mit Anbietern wie facebook und twitter, die Sie mit dem Autorisierungs-flow, was bedeutet, Sie haben zu verwenden Ihre Formular zur Anmeldung. Sie behandeln es, nicht Sie. Es ist ein username/password "- option" (grant_type: Passwort) mit OAuth 2.0, aber ich weiß nicht, ob diese Anbieter erlauben es denn, dass flow nicht verlangen, dass die Anwendung sich selbst zu identifizieren.

    Ich denke, dass Sie ziemlich viel habe es. Die Berechtigung erteilen flow wäre so etwas wie dieses:
    Wie für die Verwendung von OAuth mit Forms-auth

    Dem Kennwort gewähren flow wäre so ziemlich das gleiche, aber mit der Weiterleitung und Autorisierung Schritte. Sie würden sich nur melden Sie sich mit Ihrem eigenen Formular und die server machen die auth Anfrage an den Anbieter mit dem Passwort geben geben.

    Wenn Sie gerade verwenden es für die Authentifizierung nur, dann würden Sie nicht werden, eine Anforderung mit bestimmten token für den Zugriff auf Ihre Ressourcen-server. Ich müsste wissen, mehr über Ihre Architektur, mehr zu sagen. Aber, im Allgemeinen, wenn Sie haben einen internen identity provider, die Griffe, Rollen und Identität, sollten Sie eine federated-identity-provider verwandeln können 3rd-party-Token in Ihrem internen format und laden, zusammen mit der 3rd-party-token. So können Sie weiterhin Anfragen stellen, um die 3rd-party-wenn nötig, und immer noch haben, was Sie brauchen, sich zu bewegen innerlich, wenn das Sinn macht. Wenn das überhaupt ein Anliegen ist, lassen Sie mich wissen, und ich werde erklären, das Bein zu.

    InformationsquelleAutor Sinaesthetic
  2. 1

    Forms-auth stellt in der Regel ein cookie, um die authentifizierten Benutzer, so was Sie tun können, ist, das gleiche zu tun, und senden Sie die genaue gleiche cookie, Formen auth geschickt hätte.

    So, auf erfolgreiches OAuth Rückruf von dem Anbieter, können Sie einfach etwas wie das hier tun:

      //here, we are called on a successful OAuth auth, so 
  //let's do Forms login by ourselves
  HttpCookie authCookie = GetFormsAuthCookie(email, true, true);
  context.Response.Cookies.Add(authCookie);

    Mit der GetFormsAuthCookie Methode, die wie folgt definiert sind:

      private static HttpCookie GetAuthCookie(string userName, bool createPersistentCookie, bool httpOnly)
  {
      FormsAuthenticationTicket ticket = new FormsAuthenticationTicket(2, userName, DateTime.Now, DateTime.Now.Add(FormsAuthentication.Timeout), createPersistentCookie, "SocialEmailLogin", FormsAuthentication.FormsCookiePath);
      string encryptedTicket = FormsAuthentication.Encrypt(ticket);
      if (encryptedTicket == null)
          throw new Exception("Obviously, something went wrong here. That shouldn't happen.");

      HttpCookie cookie = new HttpCookie(FormsAuthentication.FormsCookieName, encryptedTicket);
      cookie.HttpOnly = httpOnly;
      cookie.Path = FormsAuthentication.FormsCookiePath;

      if (FormsAuthentication.RequireSSL)
      {
          cookie.Secure = true;
      }

      if (FormsAuthentication.CookieDomain != null)
      {
          cookie.Domain = FormsAuthentication.CookieDomain;
      }

      if (ticket.IsPersistent)
      {
          cookie.Expires = ticket.Expiration;
      }
      return cookie;
  }
    • Die Antwort, die ich bin auf der Suche nach high-level-one -, eher mit der high level flow. Wie schlagen Sie vor, Schutz gegen eine bösartige Anforderung, die fälschlicherweise benachrichtigt mich, dass ein OAuth-provider-auth-Benutzer ?
    • Bitte erhöhen Sie Ihre Frage. Was Sie wollen, ist nicht klar, auf alle. WENN Sie schauen, wie Sie sichere oauth, Sie können gehen Sie für die standard -, die enthält eine Menge input: tools.ietf.org/html/draft-ietf-oauth-v2-25#section-10
    • Sie sind richtig,der Sicherheits-Teil ist es ein bisschen ein scope creep, aber meine Frage ist "Welche Lösungen sind für die Kombination einer Form-auth mittels OAuth-auth ?". Ich sehe nicht, Ihre Antwort bietet eine neue Lösung, stellen Sie nur eine Implementierung für den unteren Teil "Hier ist dein auth ticket APPTK1234". Sie sagen, gibt es keine Notwendigkeit für die überprüfung der Tickets die vom provider? oder der Validierung ist die einzige option? gibt es nicht auch Lösungen, die den Schluss zulassen könnten einen anderen Fluss auf dem client/server? (Hinweis: wenn ich sage, form auth, beziehe ich mich auf User/Passwort nicht .Net FormsAuthentication -)
    • Auch in Ihrem eigenen Interesse möchte ich darauf hinweisen, dass das OAuth-Anbieter nicht Problem ein ticket, gibt es ein token, zwei verschiedene Dinge. Auch Benutzername/Passwort ist nicht "form " auth" in der OAuth realm. Ich glaube was du suchst ist einfach die Passwort-grant-Typ oder "Resource Owner Password Credentials Grant" (Abschnitt 4.3 der spec). Ich denke, diese zwei Dinge können helfen, reduzieren Verwirrung und Mehrdeutigkeit, als auch helfen, Sie auf Ihrer Suche.
    InformationsquelleAutor Simon Mourier
Schreibe einen Kommentar