RESOLVIDO - Authorize com roles
Com ajuda deste link: https://stackoverflow.com/a/47025009/10647645
E uma resposta no post com os arquivos final com a resolução
NÃO RESOLVIDO - IdentityServer, como fazer e usar?
Tenho 3 problemas iniciais aqui:
Decodificar do token: quando receber a requisição, preciso decodificar o token para fazer a validação e permitir acessar as roles com o authorize.
Authorize com roles no meu sistema: colocando uma politica eu consegui fazer, mas com as roles nao consegui.
Soluções separadas: tenho a solução do Identity e do sistema em si, portanto, preciso saber como fazer para o "sistema em si visualizar" o Identity para que faça a validação do token e assim, fazendo a autorização do mesmo.
ARQUIVOS
appsettings.json
"JwtKey": "MYSECRET",
"JwtIssuer": "http://localhost:8040/",
"JwtExpireDays": 30,
Startup.cs
JwtSecurityTokenHandler.DefaultInboundClaimTypeMap.Clear();
var key = Encoding.ASCII.GetBytes(Configuration["JwtKey"]);
services.AddAuthentication(x =>
{
x.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
x.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
})
.AddJwtBearer(x =>
{
x.RequireHttpsMetadata = false;
x.SaveToken = true;
x.TokenValidationParameters = new TokenValidationParameters
{
ValidateIssuerSigningKey = true,
IssuerSigningKey = new SymmetricSecurityKey(key),
ValidateIssuer = false,
ValidateAudience = false
};
});
// Usando a politica
services.AddAuthorization(auth =>
{
auth.AddPolicy("BearerPolicy", new AuthorizationPolicyBuilder()
.AddAuthenticationSchemes(JwtBearerDefaults.AuthenticationScheme)
.RequireAuthenticatedUser().Build());
});
AccountController.cs
[HttpPost]
[AllowAnonymous]
public async Task<AccountModel> Login([FromBody] AccountModel model)
{
var usuario = new ApplicationUser();
...
var appUser = _userManager.Users.Include(...);
var claims = await GetValidClaims(appUser);
var accountModel = new AccountModel(usuario, _roleManager);
accountModel.Token = GenerateJwtToken(appUser, claims);
return accountModel;
}
private string GenerateJwtToken(ApplicationUser user, List<Claim> claims)
{
var tokenHandler = new JwtSecurityTokenHandler();
var key = Encoding.ASCII.GetBytes(_configuration["JwtKey"]);
var tokenDescriptor = new SecurityTokenDescriptor
{
Subject = new ClaimsIdentity(claims),
Expires = DateTime.UtcNow.AddDays(1),
SigningCredentials = new SigningCredentials(new SymmetricSecurityKey(key), SecurityAlgorithms.HmacSha256Signature)
};
var token = tokenHandler.CreateJwtSecurityToken(tokenDescriptor);
return tokenHandler.WriteToken(token);
}
private async Task<List<Claim>> GetValidClaims(ApplicationUser user)
{
IdentityOptions _options = new IdentityOptions();
var claims = new List<Claim>
{
new Claim(JwtRegisteredClaimNames.Sub, user.UserName),
new Claim(_options.ClaimsIdentity.UserIdClaimType, user.Id.ToString()),
new Claim(_options.ClaimsIdentity.UserNameClaimType, user.UserName)
};
var userClaims = await _userManager.GetClaimsAsync(user);
var userRoles = await _userManager.GetRolesAsync(user);
claims.AddRange(userClaims);
foreach (var userRole in userRoles)
{
claims.Add(new Claim(ClaimTypes.Role, userRole));
var role = await _roleManager.FindByNameAsync(userRole);
if (role != null)
{
var roleClaims = await _roleManager.GetClaimsAsync(role);
foreach (Claim roleClaim in roleClaims)
{
claims.Add(roleClaim);
}
}
}
return claims;
}
RoleModel
public class RoleModel
{
public string Id{ get; set; }
public string Nome { get; set; }
public string NomeNormalizado { get; set; }
public string SeloConcorrencia { get; set; }
public RoleModel() { }
public RoleModel(ApplicationRole applicationRole)
{
Id = applicationRole.Id;
Nome = applicationRole.Name;
NomeNormalizado = applicationRole.NormalizedName;
SeloConcorrencia = applicationRole.ConcurrencyStamp;
}
}
ApplicationUser
public class ApplicationUser : IdentityUser
{
public string PrimeiroNome { get; set; }
public string UltimoNome { get; set; }
public virtual ICollection<ApplicationUserRole> UserRoles { get; } = new List<ApplicationUserRole>();
}
ApplicationRole
public class ApplicationRole: IdentityRole
{
public virtual ICollection<ApplicationUserRole> UserRoles { get; } = new List<ApplicationUserRole>();
}
ApplicationUserRole
public class ApplicationUserRole : IdentityUserRole<string>
{
public virtual ApplicationUser User { get; set; }
public virtual ApplicationRole Role { get; set; }
}
Request POST Angular
AdicionarPessoa(pessoa: Pessoa): Observable<Pessoa> {
return this.httpClient.post<Pessoa>(environment.url + "/Pessoa/AdicionarPessoa", pessoa, environment.token);
};
Environment
token: { headers: {'Authorization':'Bearer ' + localStorage.getItem("token")}}
PessoaController
[HttpPost]
[Route("api/Pessoa/AdicionarPessoa")]
// [Authorize("BearerPolicy")] <-- Usando a politica
[Authorize(Roles = "Administrador")]
public Pessoa AdicionarPessoa([FromBody]Pessoa model)
ERRO: http://localhost/api/Pessoa/AdicionarPessoa 401 (Unauthorized)
EDIÇÕES
Eu fiz o exemplo em outro metodo, assim nao preciso passar um json no post:
Meu Token
PRIMEIRA TENTATIVA - FALHA
ObterTodosPessoa com Role Administrador
[HttpGet]
[Route("api/Pessoa/ObterTodosPessoas")]
[Authorize(Roles = "Administrador")]
public IEnumerable<Pessoa> ObterTodosPessoas()
{
var PessoaRepositoryVar = new PessoaRepository();
var Pessoas = PessoaRepositoryVar.ObterTodos();
return Pessoas;
}
Console POSTMAN
Fiz algumas modificações desde o dia que postei aqui, portanto estou editando o post para ficar o mais igual que tenho possivel.
Durante algum tempo de pesquisa e estudo, me deparei com algumas duvidas:
No começo do post, falei que tinha 3 problemas iniciais, vou responde-los e gostaria que voces falassem "é isso, esta certo assim..." ou "não, esta errado, pense desta forma:....", agradeço desde ja!
Decodificar o token
Não tem porque eu decodificar o token, ja que o authorize e authentication é feito no startup.cs
Authorize
Consegui fazer, na resposta do post tem como eu fiz
Soluções separadas
Não sei se ficou claro para todos, mas de grosso modo, eu preciso abrir 2 visual studio, 1 para carregar o Identity e outro para carregar a outra solução. E sobre o IdentityServer, eu procurei pouco sobre, quero conseguir fazer funcionar as roles no Identity para depois tentar fazer o IdentityServer e colocar no restante do sistema... Se alguem tiver algum material que explique isso, agradeço
ARQUIVOS 07/08/2019
Startup.cs
public void ConfigureServices(IServiceCollection services)
{
services.Configure<CookiePolicyOptions>(options =>
{
options.CheckConsentNeeded = context => true;
options.MinimumSameSitePolicy = SameSiteMode.None;
});
services.AddDbContext<ApplicationDbContext>(options =>
options.UseOracle(
Configuration.GetConnectionString("DefaultConnection")));
services.AddIdentity<ApplicationUser, ApplicationRole>()
.AddEntityFrameworkStores<ApplicationDbContext>()
.AddDefaultUI()
.AddDefaultTokenProviders();
services.AddCors();
services.AddMvc().SetCompatibilityVersion(CompatibilityVersion.Version_2_1);
var key = Encoding.ASCII.GetBytes(Configuration["JwtKey"]);
services.AddAuthentication(x =>
{
x.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
x.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
})
.AddJwtBearer(x =>
{
x.RequireHttpsMetadata = false;
x.SaveToken = true;
x.TokenValidationParameters = new TokenValidationParameters
{
ValidateIssuerSigningKey = true,
IssuerSigningKey = new SymmetricSecurityKey(key),
ValidateIssuer = false,
ValidateAudience = false
};
});
}
AccountController.cs
[HttpPost]
[Route("Login")]
public async Task<AccountModel> Login([FromBody] AccountModel model)
{
if (ModelState.IsValid)
{
var usuario = new ApplicationUser();
var signInResultado = new Microsoft.AspNetCore.Identity.SignInResult();
Task.Run(async () =>
{
usuario = await _userManager.FindByEmailAsync(model.Email);
}).Wait();
...
if (signInResultado.Succeeded)
{
var appUser = _userManager.Users.FirstOrDefault(u => u.Id == usuario.Id);
var claims = await GetValidClaims(appUser);
var accountModel = new AccountModel(usuario, _roleManager);
accountModel.Token = GenerateJwtToken(appUser, claims);
return accountModel;
}
}
return model;
}
private string GenerateJwtToken(ApplicationUser user, List<Claim> claims)
{
var tokenHandler = new JwtSecurityTokenHandler();
var key = Encoding.ASCII.GetBytes(_configuration["JwtKey"]);
// AQUI TENHO 2 FORMAS DE FAZER, NÃO SEI QUAL FUNCIONA OU QUAL A MAIS CORRETA
// FORMA 1
var tokenDescriptor = new SecurityTokenDescriptor
{
Subject = new ClaimsIdentity(claims),
Expires = DateTime.UtcNow.AddDays(1),
SigningCredentials = new SigningCredentials(new SymmetricSecurityKey(key), SecurityAlgorithms.HmacSha256Signature)
};
var token = tokenHandler.CreateJwtSecurityToken(tokenDescriptor);
return tokenHandler.WriteToken(token);
// FORMA 2
var tokens = new JwtSecurityToken(
claims: claims,
expires: DateTime.UtcNow.AddDays(1),
signingCredentials: new SigningCredentials(new SymmetricSecurityKey(key), SecurityAlgorithms.HmacSha256Signature)
);
return new JwtSecurityTokenHandler().WriteToken(tokens);
}
private async Task<List<Claim>> GetValidClaims(ApplicationUser user)
{
IdentityOptions _options = new IdentityOptions();
var claims = new List<Claim>
{
new Claim(JwtRegisteredClaimNames.Sub, user.UserName),
new Claim(_options.ClaimsIdentity.UserIdClaimType, user.Id.ToString()),
new Claim(_options.ClaimsIdentity.UserNameClaimType, user.UserName)
};
var userClaims = await _userManager.GetClaimsAsync(user);
var userRoles = await _userManager.GetRolesAsync(user);
claims.AddRange(userClaims);
foreach (var userRole in userRoles)
{
claims.Add(new Claim(ClaimTypes.Role, userRole));
var role = await _roleManager.FindByNameAsync(userRole);
if (role != null)
{
var roleClaims = await _roleManager.GetClaimsAsync(role);
foreach (Claim roleClaim in roleClaims)
{
claims.Add(roleClaim);
}
}
}
return claims;
}
Os outros arquivos permanecem os mesmos...
Minha maior dificuldade no momento é conseguir fazer o C# identificar/validar/autorizar as roles que tem no token passado pelo header!