[C#] ASP.NET 웹 API를 보호하는 방법 [닫기]

DevDefined.OAuth를 사용해 보셨습니까?

2-Legged OAuth로 WebApi를 보호하는 데 사용했습니다. 또한 PHP 클라이언트로 성공적으로 테스트했습니다.

이 라이브러리를 사용하여 OAuth에 대한 지원을 추가하는 것은 매우 쉽습니다. 다음은 ASP.NET MVC 웹 API 용 공급자를 구현하는 방법입니다.

1) DevDefined.OAuth의 소스 코드를 가져옵니다. https://github.com/bittercoder/DevDefined.OAuth- 최신 버전에서는OAuthContextBuilder 확장 성을 .

2) 라이브러리를 빌드하고 웹 API 프로젝트에서 참조하십시오.

3) 다음에서 컨텍스트 작성을 지원하는 사용자 정의 컨텍스트 빌더를 작성하십시오 HttpRequestMessage.

using System;
using System.Collections.Generic;
using System.Collections.Specialized;
using System.Diagnostics.CodeAnalysis;
using System.Linq;
using System.Net.Http;
using System.Web;

using DevDefined.OAuth.Framework;

public class WebApiOAuthContextBuilder : OAuthContextBuilder
{
    public WebApiOAuthContextBuilder()
        : base(UriAdjuster)
    {
    }

    public IOAuthContext FromHttpRequest(HttpRequestMessage request)
    {
        var context = new OAuthContext
            {
                RawUri = this.CleanUri(request.RequestUri),
                Cookies = this.CollectCookies(request),
                Headers = ExtractHeaders(request),
                RequestMethod = request.Method.ToString(),
                QueryParameters = request.GetQueryNameValuePairs()
                    .ToNameValueCollection(),
            };

        if (request.Content != null)
        {
            var contentResult = request.Content.ReadAsByteArrayAsync();
            context.RawContent = contentResult.Result;

            try
            {
                // the following line can result in a NullReferenceException
                var contentType =
                    request.Content.Headers.ContentType.MediaType;
                context.RawContentType = contentType;

                if (contentType.ToLower()
                    .Contains("application/x-www-form-urlencoded"))
                {
                    var stringContentResult = request.Content
                        .ReadAsStringAsync();
                    context.FormEncodedParameters =
                        HttpUtility.ParseQueryString(stringContentResult.Result);
                }
            }
            catch (NullReferenceException)
            {
            }
        }

        this.ParseAuthorizationHeader(context.Headers, context);

        return context;
    }

    protected static NameValueCollection ExtractHeaders(
        HttpRequestMessage request)
    {
        var result = new NameValueCollection();

        foreach (var header in request.Headers)
        {
            var values = header.Value.ToArray();
            var value = string.Empty;

            if (values.Length > 0)
            {
                value = values[0];
            }

            result.Add(header.Key, value);
        }

        return result;
    }

    protected NameValueCollection CollectCookies(
        HttpRequestMessage request)
    {
        IEnumerable<string> values;

        if (!request.Headers.TryGetValues("Set-Cookie", out values))
        {
            return new NameValueCollection();
        }

        var header = values.FirstOrDefault();

        return this.CollectCookiesFromHeaderString(header);
    }

    /// <summary>
    /// Adjust the URI to match the RFC specification (no query string!!).
    /// </summary>
    /// <param name="uri">
    /// The original URI. 
    /// </param>
    /// <returns>
    /// The adjusted URI. 
    /// </returns>
    private static Uri UriAdjuster(Uri uri)
    {
        return
            new Uri(
                string.Format(
                    "{0}://{1}{2}{3}",
                    uri.Scheme,
                    uri.Host,
                    uri.IsDefaultPort ?
                        string.Empty :
                        string.Format(":{0}", uri.Port),
                    uri.AbsolutePath));
    }
}

4)이 자습서를 사용하여 OAuth 제공자를 작성 하십시오 (http://code.google.com/p/devdefined-tools/wiki/OAuthProvider) . 마지막 단계 (보호 자원 액세스 예)에서이 코드를 AuthorizationFilterAttribute속성 에 사용할 수 있습니다 .

public override void OnAuthorization(HttpActionContext actionContext)
{
    // the only change I made is use the custom context builder from step 3:
    OAuthContext context =
        new WebApiOAuthContextBuilder().FromHttpRequest(actionContext.Request);

    try
    {
        provider.AccessProtectedResourceRequest(context);

        // do nothing here
    }
    catch (OAuthException authEx)
    {
        // the OAuthException's Report property is of the type "OAuthProblemReport", it's ToString()
        // implementation is overloaded to return a problem report string as per
        // the error reporting OAuth extension: http://wiki.oauth.net/ProblemReporting
        actionContext.Response = new HttpResponseMessage(HttpStatusCode.Unauthorized)
            {
               RequestMessage = request, ReasonPhrase = authEx.Report.ToString()
            };
    }
}

나는 내 공급자를 구현 했으므로 위의 코드를 테스트하지는 않았지만 (물론 WebApiOAuthContextBuilder공급자에서 사용하는 코드는 제외 ) 제대로 작동합니다.

답변

public static void Register(HttpConfiguration config)
{
    config.Filters.Add(new AuthorizeAttribute());
}

[Authorize]
public class ValuesController : ApiController{
...

public class DemoAuthorizeAttribute : AuthorizeAttribute
{
    public override void OnAuthorization(System.Web.Http.Controllers.HttpActionContext actionContext)
    {
        if (Authorize(actionContext))
        {
            return;
        }
        HandleUnauthorizedRequest(actionContext);
    }

    protected override void HandleUnauthorizedRequest(System.Web.Http.Controllers.HttpActionContext actionContext)
    {
        var challengeMessage = new System.Net.Http.HttpResponseMessage(System.Net.HttpStatusCode.Unauthorized);
        challengeMessage.Headers.Add("WWW-Authenticate", "Basic");
        throw new HttpResponseException(challengeMessage);
    }

    private bool Authorize(System.Web.Http.Controllers.HttpActionContext actionContext)
    {
        try
        {
            var someCode = (from h in actionContext.Request.Headers where h.Key == "demo" select h.Value.First()).FirstOrDefault();
            return someCode == "myCode";
        }
        catch (Exception)
        {
            return false;
        }
    }
}

[DemoAuthorize]
public class ValuesController : ApiController{