Web.Apiの基本的なトークン認証と承認

Question

私はWebApiメソッドを呼び出すMVCアプリケーションを持っています。

MVCアプリケーションの私の許可この

public class CustomAuthorizeAttribute : AuthorizeAttribute { 

     private RolesEnum _role; 

     public CustomAuthorizeAttribute() { 
      _role = RolesEnum.User; 
     } 

     public CustomAuthorizeAttribute(RolesEnum role) { 
      _role = role; 
     } 

     protected override bool AuthorizeCore(HttpContextBase httpContext) { 

      User currentUser = (User)httpContext.Session["CurrentUser"]; 

      if (currentUser == null) { 
       return false; 
      } 

      if (currentUser.Role == RolesEnum.User && _role == RolesEnum.Admin) { 
       return false; 
      } 

      return true; 
     } 

真偽のように行われている

は

[HttpPost] 
    public ActionResult Login(string username, string password) 
    { 

     User acc = new User(); 
     acc.Username = username; 
     acc.Password = password; 
     acc = accBL.Login(acc); 

     if (acc != null) { 
      Session.Add("CurrentUser", acc); 
      return RedirectToAction("Index", "Project", null); 
     } else { 
      return View(); 
     } 


    } 

ログイン方法がこの

public User LogIn(User acc) { 
      try { 
       HttpClient client = new HttpClient(); 
       client.BaseAddress = new Uri(BASE_URL); 
       client.DefaultRequestHeaders.Accept.Add(
        new MediaTypeWithQualityHeaderValue("application/json")); 
       HttpResponseMessage response = client.PostAsJsonAsync("api/Account/Login", acc).Result; 

       if (response.IsSuccessStatusCode) { 
        return response.Content.ReadAsAsync<User>().Result; 
       } else { 
        return null; 
       } 

      } catch { 
       return null; 
      } 
     } 

そしてWEBAPI方法のように見えるWEBAPIメソッドを呼び出して実行され このように見える

[Route("api/Account/Login")] 
     [HttpPost] 
     public IHttpActionResult Login(User userModel) { 
      User user = db.Users.Where(p => p.Username == userModel.Username && p.Password == userModel.Password).FirstOrDefault(); 

      if (user != null) { 
       return Ok(user); 
      } else { 
       throw new HttpResponseException(HttpStatusCode.Unauthorized); 
      } 

     } 

MVCアプリケーションとWebApiサービスをどのように接続できますか。私の認可と認証はMVCの部分で動作しますが、私のWebApiサービスはこの許可/認証なしで呼び出すことができます。私の例に基づいてWebApiを保護するにはどうすればよいですか？私はMVCとWebApiで約3週間働いていて、多くのことはあまりにも私にはあまり明らかではありません。

public IHttpActionResult Login（User userModel）でGUIDを作成し、メソッドが呼び出されるたびにそれをチェックするだけでよいですか？このGUIDをMVC Appに渡し、MVCからWebApiに渡すにはどうすればよいですか？

Answer 1

WebAPI Login()メソッドで何らかのトークン（例：JWT）を作成し、Ok()応答（MVCアプリ）に返すことができます。 APIエンドポイントを呼び出すユーザーは、このトークンを元に戻す必要があります（カスタム「トークン」ヘッダーなど）。 APIエンドポイントで使用するカスタムWebAPI権限属性内でトークンを検証できます。

例えば、

ログインエンドポイント

[Route("api/Account/Login")] 
[HttpPost] 
public object Login(User userModel) { 
    User user = ...; 
    string token = CreateTokenForUser(user); 

    if (user != null) { 
     // return user and token back 
     return new {User = user, Token = token}; 
    } else { 
     throw new HttpResponseException(HttpStatusCode.Unauthorized); 
    } 
} 

カスタム認証フィルタ

public class UserAuthAttribute : ActionFilterAttribute, IAuthenticationFilter 
{ 

    public async Task AuthenticateAsync(HttpAuthenticationContext context, CancellationToken cancellationToken) 
    { 
     string token = null; 
     IEnumerable<string> tokenHeader; 
     if (context.Request.Headers.TryGetValues("Token", out tokenHeader)) 
      token = tokenHeader.FirstOrDefault(); 

     if (token != null && IsTokenValid(token) 
     { 
      // user has been authenticated i.e. send us a token we sent back earlier 
     } 
     else 
     { 
      // set ErrorResult - this will result in sending a 401 Unauthorized 
      context.ErrorResult = new AuthenticationFailureResult(Invalid token", context.Request); 
     } 
    } 

} 

認証されたユーザーのみがアクセス

[Route("api/Values")] 
[HttpGet] 
[UserAuth] 
public object GetValues() { 

    // only requests with a valid token will be able to call this because of the [UserAuth] attribute 
} 

許されるべき他のエンドポイント