使用 OWIN 身份从多个 API 客户端注册 Web API 2 外部登录

更新：自从我在一月份写这篇文章以来，情况发生了变化：MSFT 发布了他们的官方 OpenID 连接客户端中间件，我与@manfredsteyer 一起努力使 Katana 中内置的 OAuth2 授权服务器适应 OpenID 连接。这种组合产生了一个更简单、更强大的解决方案，不需要任何自定义客户端代码，并且与标准 OAuth2/OpenID 连接客户端 100% 兼容。我在一月份提到的不同步骤现在可以只用几行代替：

服务器：

app.UseOpenIdConnectServer(options =>
{
    options.TokenEndpointPath = new PathString("/connect/token");
    options.SigningCredentials.AddCertificate(certificate);

    options.Provider = new CustomOpenIdConnectServerProvider();
});

客户：

app.UseOpenIdConnectAuthentication(new OpenIdConnectAuthenticationOptions
{
    Authority = "http://localhost:55985/",

    ClientId = "myClient",
    ClientSecret = "secret_secret_secret",
    RedirectUri = "http://localhost:56854/oidc"
});

您可以在 GitHub 存储库中找到所有详细信息（以及不同的示例）：

https://github.com/aspnet-contrib/AspNet.Security.OpenIdConnect.Server

https://github.com/aspnet-contrib/AspNet.Security.OpenIdConnect.Server/tree/dev/samples/Nancy

Josh，您肯定走在正确的轨道上，并且您的委托/联合身份验证 实现看起来相当不错（我想您已经使用了来自 Microsoft.Owin.Security.Facebook/Google/Twitter 的预定义 OWIN 中间件）。

您需要做的是创建自己的自定义 OAuth2 授权服务器。您有很多选项可以实现这一目标，但最简单的一种可能是将 OAuthAuthorizationServerMiddleware 插入您的 OWIN Startup 类。您可以在 Microsoft.Owin.Security.OAuth Nuget 包中找到它。

虽然最佳实践是创建一个单独的项目（通常称为“AuthorizationServer”），但我个人更喜欢将它添加到我的“API 项目”中，因为它不打算跨多个 API 使用（在这里，您必须插入它在托管“api.prettypictures.com”的项目中）。

您会在 Katana 存储库中找到一个很棒的示例：

https://katanaproject.codeplex.com/SourceControl/latest#tests/Katana.Sandbox.WebServer/Startup.cs

app.UseOAuthAuthorizationServer(new OAuthAuthorizationServerOptions
{
    AuthorizeEndpointPath = new PathString("/oauth2/authorize"),
    TokenEndpointPath = new PathString("/oauth2/token"),
    ApplicationCanDisplayErrors = true,

    AllowInsecureHttp = true,

    Provider = new OAuthAuthorizationServerProvider
    {
        OnValidateClientRedirectUri = ValidateClientRedirectUri,
        OnValidateClientAuthentication = ValidateClientAuthentication,
        OnGrantResourceOwnerCredentials = GrantResourceOwnerCredentials,
    },
    AuthorizationCodeProvider = new AuthenticationTokenProvider
    {
        OnCreate = CreateAuthenticationCode,
        OnReceive = ReceiveAuthenticationCode,
    },
    RefreshTokenProvider = new AuthenticationTokenProvider
    {
        OnCreate = CreateRefreshToken,
        OnReceive = ReceiveRefreshToken,
    }
});

不要犹豫，浏览整个项目，看看授权同意书是如何使用简单的 Razor 文件实现的。如果您更喜欢 ASP.NET MVC 或 NancyFX 等更高级别的框架，请创建自己的 AuthorizationController 控制器和 Authorize 方法（确保同时接受 GET 和 POST）并使用属性路由来匹配 OAuth2 中定义的 AuthorizeEndpointPath授权服务器（即我的示例中的 [Route("oauth2/authorize")]，我已将 AuthorizeEndpointPath 更改为使用 oauth2/ 作为路径库）。

您需要做的另一件事是在您的 Web 应用程序中添加 OAuth2 授权客户端。不幸的是，Katana 中没有通用的 OAuth2 客户端支持，您必须自己构建。我亲自向 Katana 团队提交了一份提案，但被拒绝了。但不要惊慌，这很容易做到：

从位于那里的 Microsoft.Owin.Security.Google 存储库复制相应的文件：https://katanaproject.codeplex.com/SourceControl/latest#src/Microsoft.Owin.Security.Google/GoogleOAuth2AuthenticationHandler.cs

您将需要 GoogleOAuth2AuthenticationHandler、GoogleOAuth2AuthenticationMiddleware、GoogleOAuth2AuthenticationOptions、GoogleAuthenticationExtensions（您必须删除与 Google OpenID 实现相对应的前 2 个方法）、IGoogleOAuth2AuthenticationProvider、GoogleOAuth2ReturnEndpointContext、GoogleOAuth2AuthenticationProvider、 GoogleOAuth2AuthenticatedContext 和 GoogleOAuth2ApplyRedirectContext。将这些文件插入托管“webpics.com”的项目后，请相应地重命名它们并更改 GoogleOAuth2AuthenticationHandler 中的授权和访问令牌端点 URL 以匹配您在 OAuth2 授权服务器中定义的那些。

然后，将重命名/自定义 GoogleAuthenticationExtensions 中的 Use 方法添加到 OWIN Startup 类。我建议使用 AuthenticationMode.Active，以便您的用户将被直接重定向到您的 API OAuth2 授权端点。因此，您应该禁止“api.prettypictures.com/Account/ExternalLogins”往返并让 OAuth2 客户端中间件更改 401 响应以将客户端重定向到您的 API。

祝你好运。如果您需要更多信息，请不要犹豫；）

---