2020/01/22更新---- 这难道不是.NET5 的bug? 在线求锤?
hello,最近在对一个使用.NET5项目的认证授权系统进行重构,对.NET 5的授权中间件的源码有些看法。
也希望同学们能帮我理解。
一个朴素的需求
这是一个api项目,默认所有的api都需要授权, 少数散落在Controller各处的api不需要授权访问,故这里有个全局授权访问+特例匿名访问的矛盾。
以我粗鄙的想法,我相信.NET会很好的处理好这个矛盾: [AllowAnonymous]优先。
这个想法在https://docs.microsoft.com/en-us/aspnet/core/security/authorization/simple?view=aspnetcore-5.0 得到印证。
需求实现
在Startup ConfigureServices添加认证、授权服务
// 认证服务 services.AddAuthentication("token") .AddScheme<TokenAuthenticationOptions, TokenAuthenticationHandler>(TokenAuthenticationDefaults.AuthenticationScheme, option => { option.ClaimsIssuer = configuration.GetSection("AppKeys")["ClaimsIssuer"].ToString(); option.ClientId = configuration.GetSection("AppKeys")["ClientId"].ToString(); option.ClientSign = configuration.GetSection("AppKeys")["ClientSign"].ToString(); }); // 授权服务 services.AddAuthorization(options =>{ // 默认策略 options.DefaultPolicy = new AuthorizationPolicyBuilder() .RequireAuthenticatedUser() .AddAuthenticationSchemes("token") .Build(); });
既然现在.NET5推荐使用端点路由的形式,故针对我这个朴素的需求:
我理所当然会尝试使用在Controller端点上要求全局授权访问,对散落在各地的不需要授权的Controller-Action添加[AllowAnonymous]特性。
// 注册授权中间件 app.UseAuthorization(); app.UseEndpoints(endpoints => { endpoints.MapHealthChecks("/healthz").AllowAnonymous().WithDisplayName("healthz"); // 全局对所有api要求授权访问 endpoints.MapControllers().RequireAuthorization().WithDisplayName("default"); });
[AllowAnonymous] [HttpGet] [Route("triggerorder")] public void TriggerOrder() { ... }
实际测试发现,虽然我对Controller标记了允许匿名访问, 但请求始终进入了授权认证过程!
这个·朴素的授权需求竟然还遇到了障碍。
探究源码
源码很简单:
1..NET 授权中间件先从端点获取了全局授权声明IAuthorizeData
2. 通过这个声明拿到了详细的全局授权策略
3. 后面直接开始走授权认证过程, ??? 难以理解
4. 虽然后面又开始检测Controller-Action上面的AllowAnonymous
特性,这时候已经晚了,你都把授权认证流程都走一遍了!!
很明显,基于端点的全局授权+零散的匿名访问特性 并没有贯彻[AllowAnonymous]特性优先的原则。
在这个测试例子中,当前端点的
metadata
确实包含Authorize
和AllowAnonymous
两个特性!
后续
我已经在github上提了issue(https://github.com/dotnet/aspnetcore/issues/29377), 讲述了这个朴素的需求面临的障碍,但是官方的回答我并不满意。
暂时采用变通方案,我自行写了一个授权中间件(主体拷贝自官方), 只是自行将对[AllowAnonymous]特性的检测应用代码提到端点授权代码的前面, 这也是我内心认为的bug的修复方案。
欢迎大家留言,提出意见或看法!
---2020/01/22更新-------------------------------
之前我接收到各位大佬的留言: 不管是匿名还是鉴权访问, 均需要登记在册,再根据是MVC上否有匿名元数据(有的话,跳过),没有就继续走授权流程。
但是我又仔细检视了源码,发现并不完全正确, 请看官仔细观察我上面的示例, 端点路由还有一个[健康检查],端点上直接加上了[AllowAnonymous]
endpoints.MapHealthChecks("/healthz").AllowAnonymous().WithDisplayName("healthz");
这个端点并没有进入认证流程,从授权中间件源码上看也是如此。
故官方源码是否能进入认证逻辑: 关键是看能不能在端点上直接找到授权策略:
var authorizeData = endpoint?.Metadata.GetOrderedMetadata<IAuthorizeData>() ?? Array.Empty<IAuthorizeData>(); var policy = await AuthorizationPolicy.CombineAsync(_policyProvider, authorizeData); if (policy == null) { await _next(context); return; }
健康检查端点直接应用了[AllowAnonymous](实际上你可以不加), 这样就没有授权策略(policy== null),这个时候自然跳过后续,进入业务逻辑。
甚至, 你可以这样写:
endpoints.MapControllers().RequireAuthorization().AllowAnonymous().WithDisplayName("default");
这样的代码也能进入认证逻辑,因为它包含了授权声明.
根据以上分析,实际上端点上授权流程是这样的:
以上给我们的结果是: 端点、MVC Controller上存在匿名访问声明时,其效果是不一样的。
源码对端点上的授权声明(匿名.授权)的处理优先级 高于MVC Controller上的[AllowAnonymousAttribute].
或者说端点上的全局要求授权的处理优先级高于[AllowAnonymous],总之, 有特殊代码在作怪
本文来自博客园,作者:{有态度的马甲},转载请注明原文链接:https://www.cnblogs.com/JulianHuang/p/14298737.html
欢迎关注我的原创技术、职场公众号, 加好友谈天说地,一起进化
【推荐】编程新体验,更懂你的AI,立即体验豆包MarsCode编程助手
【推荐】凌霞软件回馈社区,博客园 & 1Panel & Halo 联合会员上线
【推荐】抖音旗下AI助手豆包,你的智能百科全书,全免费不限次数
【推荐】博客园社区专享云产品让利特惠,阿里云新客6.5折上折
【推荐】轻量又高性能的 SSH 工具 IShell:AI 加持,快人一步
· 一个奇形怪状的面试题:Bean中的CHM要不要加volatile?
· [.NET]调用本地 Deepseek 模型
· 一个费力不讨好的项目,让我损失了近一半的绩效!
· .NET Core 托管堆内存泄露/CPU异常的常见思路
· PostgreSQL 和 SQL Server 在统计信息维护中的关键差异
· DeepSeek “源神”启动!「GitHub 热点速览」
· 微软正式发布.NET 10 Preview 1:开启下一代开发框架新篇章
· 我与微信审核的“相爱相杀”看个人小程序副业
· C# 集成 DeepSeek 模型实现 AI 私有化(本地部署与 API 调用教程)
· spring官宣接入deepseek,真的太香了~