-1

Boa noite,

Estou implementando autenticação e autorização na minha Web API em asp.net core 5.0. Ontem, tive sucesso com algumas autorizações. Porém, quando fui tentar terminar de implementar hoje, não consigo mais autorizar ninguém a utilizar nenhum método HTTP. Todos resultam em resposta 401 Unauthorized.

Segue abaixo alguns prints do meu código.

Método ConfigureService no Startup.cs.

 //Autenticação e Autorização
            
            var key = Encoding.ASCII.GetBytes(GenerateKey.secret);

            services.AddAuthentication(x => 
            {
                x.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
                x.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
            })
            .AddJwtBearer(x => {
                x.RequireHttpsMetadata = false;
                x.SaveToken = true;
                x.TokenValidationParameters = new TokenValidationParameters
                {
                    ValidateIssuerSigningKey = true,
                    IssuerSigningKey = new SymmetricSecurityKey(key),
                    ValidateIssuer = false,
                    ValidateAudience = false
                };
            });

            services.AddAuthorization(opt => 
            {
                var defaultAuthorizationPolicyBuilder = new AuthorizationPolicyBuilder(JwtBearerDefaults.AuthenticationScheme);

                defaultAuthorizationPolicyBuilder = defaultAuthorizationPolicyBuilder.RequireAuthenticatedUser();

                opt.DefaultPolicy = defaultAuthorizationPolicyBuilder.Build();
            });

Método Configure no startup.cs.

app.UseAuthentication();
app.UseAuthorization();

Função de criação de Token

using System;
using System.IdentityModel.Tokens.Jwt;
using System.Text;
using MentalizeAPI.Models;
using Microsoft.IdentityModel.Tokens;
using System.Security.Claims;

namespace Mentalize.WebAPI.Authentication
{
    public class TokenServicePaciente
    {
        public static string GenerateToken(Paciente paciente){
            
            var tokenHandler = new JwtSecurityTokenHandler();
            var key = Encoding.ASCII.GetBytes(GenerateKey.secret);
            var tokenDescriptor = new SecurityTokenDescriptor
            {
                Subject = new System.Security.Claims.ClaimsIdentity(new Claim[]
                {
                    new Claim(ClaimTypes.Name, paciente.email.ToString()),
                    new Claim(ClaimTypes.Role, paciente.tipoLogin.ToString())
                }),
                Expires = DateTime.UtcNow.AddHours(2),
                SigningCredentials = new SigningCredentials(new SymmetricSecurityKey(key), SecurityAlgorithms.HmacSha256Signature)
            };

            var token = tokenHandler.CreateToken(tokenDescriptor);
            return tokenHandler.WriteToken(token);
        }
    }
}

Um de meus métodos http utilizando o mecanismo de autenticação.

 [HttpGet]
 [Authorize(Roles = "paciente")]
 public async Task<IActionResult> Get([FromQuery]PageParams pageParams)
 {
     var crencaNuclear = await _repo.GetAllCrencasNuclearesAsync(pageParams, true);

      var crencaNuclearResult = _mapper.Map<IEnumerable<CrencaNuclearDto>>(crencaNuclear);

       Response.AddPagination(crencaNuclear.CurrentPage, crencaNuclear.PageSize, crencaNuclear.TotalCount, crencaNuclear.TotalPages);

       return Ok(crencaNuclearResult);
 }

Enfim, acredito que essas informações sejam suficientes para que vocês entendam como estou implementando a autorização e a autenticação. Eu recebo o token normalmente pelo Postman. Mas quando o uso para acessar um método Http, como o mostrado acima, passando Key: Authorization, Value: Bearer Token no header. Eu recebo o Unauthorized. Alguém pode me dizer aonde estou errando?

Agradeço qualquer ajuda e estou a disposição de enviar mais códigos a fim de resolvermos o problema.

Obrigado!

1
  • Adicione um exemplo de requisição com o token Commented 4/06/2021 às 12:04

1 Resposta 1

2

Não consigo dizer ao certo sem visualizar a chamada do seu método GenerateToken e sua requisição no Postman, ai vão algumas considerações que podem ser triviais mas acabamos esquecendo:

1. Para uma requisição HTTPS com autenticação via Token é necessário realizar um request para o endpoint que chama sua implementação do GenerateToken e com isso obter o token para o usuário autenticado.

Exemplo de request obtendo o token

2. Com esse token em mãos, para toda chamada de endpoint decorado com Authorize, o token deve ser informado na requisição do postman, na parte de Authorization/Bearer Token.

Informando Bearer Token na requisição

3. Certifique-se de que está realizando a requisição no Postman com o protocolo HTTPS e não HTTP como tinha informado acima, uma vez tratando de autenticação não faz muito sentido ser HTTP, caso tenha um método que não deva utilizar autenticação apenas decore ele como AllowAnonymous ou invés de Authorize e mantenha HTTPS.

4. Tenha em mente que nosso token está definido para expirar em 2h, então sempre que houver a expiração, um novo request ao GenerateToken e um novo token devem ser utilizados.

Fiz um projeto básico para simular a questão e funcionou corretamente, se for de ajuda, estou deixando o link aqui também.

https://github.com/RaphaelX1/Question_511894

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .