Web service RESTful di ASP.net + Autenticazione di base

Question

Sto implementando un servizio web RESTful utilizzando ASP.Net Web Api. Ho concluso l'utilizzo dell'autenticazione di base + SSL per eseguire la parte di autenticazione. Qual è il modo migliore/corretto per implementarlo?

Il mio primo tentativo è stato quello di farlo manualmente, analizzando l'intestazione Autorizzazione, decodificando e verificando l'utente sul mio database. Funziona, ma mi chiedo se mi manca qualcosa.

Ho visto alcune soluzioni che utilizzano ruoli e principi utente. Mentre non sono sicuro di ciò che effettivamente fanno, sono quasi sicuro che non avrò bisogno di questi, dal momento che nel mio database definisco i miei utenti e i loro ruoli.

Anche ciò che non ho ancora completamente compreso, è se i consumatori del servizio devono inviare le credenziali con ogni richiesta o sono in qualche modo nella cache. Il mio servizio dovrebbe fare qualcosa in modo che ciò accada, o è completamente a carico del consumatore di gestirlo?

E un'ultima domanda sui client che fanno richieste con javascript. Ci sarebbero problemi di "richiesta di dominio incrociato" se provassero ad usare il servizio?

Answer 1

Jamie Kurtze fornisce una buona spiegazione di utilizzare l'autenticazione di base qui ASP.NET Web API REST Security Basics

Dalla mia comprensione, se si desidera che le richieste siano apolidi, ciascuna richiesta verrà richiesta e il campo Autenticazione da impostare

Jamie Kurtze avvolge il codice necessario in una classe derivata da DelegateHandler, mentre Rick Strahl controlla se la chiamata è valida utilizzando un filtro. Si può leggere di più al suo post sul blog su questo argomento in A WebAPI Basic Authentication Authorization Filter

Answer 2

Date un'occhiata qui per una buona implementazione autenticazione di base

http://leastprivilege.com/2013/04/22/web-api-security-basic-authentication-with-thinktecture-identitymodel-authenticationhandler/

c'è più da leggere su di esso in: https://github.com/thinktecture/Thinktecture.IdentityModel.45/wiki

Answer 3

utilizzo dell'autenticazione di base per l'iniziale (login) richiesta con l'aggiunta di un attributo [BasicHttpAuthorize] alle appropriate controllori/metodi. Specificare il numero Users e Roles con l'attributo se lo si desidera. Definire BasicHttpAuthorizeAttribute come specializzata AuthorizeAttribute come questo:

public class BasicHttpAuthorizeAttribute : AuthorizeAttribute 
{ 
    protected override bool IsAuthorized(HttpActionContext actionContext) 
    { 
     if (Thread.CurrentPrincipal.Identity.Name.Length == 0) { // If an identity has not already been established by other means: 
      AuthenticationHeaderValue auth = actionContext.Request.Headers.Authorization; 
      if (string.Compare(auth.Scheme, "Basic", StringComparison.OrdinalIgnoreCase) == 0) { 
       string credentials = UTF8Encoding.UTF8.GetString(Convert.FromBase64String(auth.Parameter)); 
       int separatorIndex = credentials.IndexOf(':'); 
       if (separatorIndex >= 0) { 
        string userName = credentials.Substring(0, separatorIndex); 
        string password = credentials.Substring(separatorIndex + 1); 
        if (Membership.ValidateUser(userName, password)) 
         Thread.CurrentPrincipal = actionContext.ControllerContext.RequestContext.Principal = new GenericPrincipal(new GenericIdentity(userName, "Basic"), System.Web.Security.Roles.Provider.GetRolesForUser(userName)); 
       } 
      } 
     } 
     return base.IsAuthorized(actionContext); 
    } 
} 

Avere la risposta iniziale includere una chiave API per l'utente. Utilizzare la chiave API per le chiamate successive. In questo modo, l'autenticazione del client rimane valida anche se l'utente cambia nome utente o password. Tuttavia, quando si modifica la password, dare all'utente un'opzione per "disconnettere i client", che si implementa eliminando la chiave API sul server.