1

Estou olhando alguns sites sobre autenticação baseada em token usando a biblioteca OAuth mas surgiu uma dúvida.

Eu tenho uma webapi que já expõe serviços tanto para um App quanto para um Site. Já temos um sistema de login com banco de dados SQL funcionando. Porém agora gostaríamos que toda requisição na webapi seja validada via token. Eu instalei e configurei todos packages necessários, editei a classe Startup etc mas travei no seguinte problema.

Quando o site ou o app faz o login utilizando meu serviço, exemplo http://meuservico/api/Login, e eu valido o login no banco, gostaria de chamar a criação do token e guardar esse token o resto do dia para chamada de outras actions e controllers. Exemplo, a pessoa logou e vai até o menu de cadastro ou alteração de dados, quando ele chamar o serviço novamente http://meuservico/api/AlteraDados eu coloco um [Authorize] no método apenas ou ainda preciso fazer algo para comparar se o token que ele criou ao se logar ainda é o mesmo?

2 Respostas 2

1

Não me ficou muito claro a sua dúvida, mas não há necessidade de um if para comparar o token, o próprio framework faz isso internamente.

Exemplo:

No seu startup.cs , provavelmente você terá um método parecido com esse:

public void ConfigureOAuth(IAppBuilder app)
{
    OAuthAuthorizationServerOptions OAuthServerOptions = new OAuthAuthorizationServerOptions()
    {
        AllowInsecureHttp = true,
        TokenEndpointPath = new PathString("/token"),
        AccessTokenExpireTimeSpan = TimeSpan.FromDays(1),
        Provider = new SimpleAuthorizationServerProvider()
    };

    // Token Generation
    app.UseOAuthAuthorizationServer(OAuthServerOptions);
    app.UseOAuthBearerAuthentication(new OAuthBearerAuthenticationOptions());
}

Nesse método é definido o endpoint e o tempo que o token irá durar

Você também deve ter um provider mais ou menos assim

public class SimpleAuthorizationServerProvider : OAuthAuthorizationServerProvider
    {
        public override async Task ValidateClientAuthentication(OAuthValidateClientAuthenticationContext context)
        {
            context.Validated();
        }

        public override async Task GrantResourceOwnerCredentials(OAuthGrantResourceOwnerCredentialsContext context)
        {

            context.OwinContext.Response.Headers.Add("Access-Control-Allow-Origin", new[] { "*" });
            using (IUserRepository _repository = new UserRepository(new Data.DataContexts.OAuthServerDataContext()))
            {
                var user = _repository.Authenticate(context.UserName, context.Password);

                if (user == null)
                {
                    context.SetError("invalid_grant", "The user name or password is incorrect.");
                    return;
                }
            }

            var identity = new ClaimsIdentity(context.Options.AuthenticationType);
            identity.AddClaim(new Claim("sub", context.UserName));
            identity.AddClaim(new Claim("role", "user"));

            context.Validated(identity);
        }
}

Para autenticar você precisa fazer uma requisição nesse endpoint passando as três informações

  • grant_type
  • username
  • password

Após isso você receberá como resposta um token

Por fim, em toda action que estiver decorada com o [Authorize] será necessário que o token esteja no header da requisição, com o atributo Authorization

Caso o token seja invalido retornara Forbbiden 403.

obs: o token é composto por informações e podemos tanto adicionar como capturar tais informações, note que no bloco identity.AddClaim(new Claim("role", "user")); é adicionado o userno token

1
  • essa era minha dúvida. se no [Authorize] ele ja validava esse token. muito obrigado. Commented 11/06/2018 às 18:21
1

Se a autenticação for por token, o mesmo deve ser enviado em todas as solicitações e validado. Tanto quanto a existência quanto a validade do token, pois e uma boa prática que ele tenha um tempo para expirar.

Você pode utilizar o OAuth2 do ASP.net para gerar o token e validar o mesmo, veja no link a seguir o tutorial da microsoft para tal. Autenticacao para web API

1

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .