Em versões anteriores ao ASP.NET 5, havia um middleware chamado "OAuth Authorization Server Middleware" que permitia adicionar um servidor OAuth na pipeline e configurar a geração de token. O middleware era fácil de usar, funcionava bem e dava acesso as configurações mais relevantes.
Acontece que quando comecei a usar o ASP.NET 5 percebi que esse middleware não existe mais. Fui procurar no GitHub e descobri que não existe intenção de se portar esse middleware para a nova versão do framework. O que estão fazendo é encorajar o uso do Identity Server 3.
Eu olhei um pouco do Identity Server 3 e, apesar de ser algo muito bem feito, não gostei da ideia de depender do mesmo por algumas razões:
O OAuth Authorization Server Middleware era algo que vinha "limpo" e a gente configurava na mão. Pelo que eu vi o Identity Server 3 vem com muitas coisas já feitas e o que pode ser feito é optar por não usar uma ou outra funcionalidade. Eu particularmente prefiro configurar na mão só o que eu realmente preciso.
O Identity Server 3 não funciona no Core CLR. O problema disso é que, eu pelo menos, achei muito vantajoso trabalhar com o .NET Core. Só que o Identity Server 3 só funciona no .NET completo e parece que nem tão cedo vão fazer uma versão para o .NET Core. Dessa forma, só para ter recursos básicos de autenticação na minha API eu iria precisar abrir mão do .NET Core.
Pesquisei um pouco e o que cheguei mais perto foi basicamente duas opções:
Usar um projeto da comunidade chamado "AspNet.Security.OpenIdConnect.Server", que apesar de parece interessante, parece tratar de OpenId invés de OAuth, que pelo que pesquisei, são coisas diferentes.
Codificar um servidor OAuth. Acho essa opção ruim, primeiro porque não sou especialista em segurança e com certeza deixaria brechas e segundo porque não seria muito produtivo.
Assim, gostaria de saber daqueles que já estão trabalhando com o ASP.NET 5: como usar OAuth no ASP.NET 5 sem perder a possibilidade de usar o .NET Core? Estou falando do OAuth, porque é a melhor forma que conheço de implementar autenticação em Web API's, se existir outra forma que funcione melhor no ASP.NET 5 também gostaria de saber.