12 2013 档案

谈谈基于OAuth 2.0的第三方认证 [下篇]
摘要：从安全的角度来讲，《中篇》介绍的Implicit类型的Authorization Grant存在这样的两个问题：其一，授权服务器没有对客户端应用进行认证，因为获取Access Token的请求只提供了客户端应用的ClientID而没有提供其ClientSecret；其二，Access Token是授权服务器单独颁发给客户端应用的，照理说对于其他人（包括拥有被访问资源的授权者）应该是不可见的。Authorization Code类型的Authorization Grant很好地解决了这两个问题。 阅读全文
posted @ 2013-12-30 08:55 Artech 阅读(23358) 评论(7) 推荐(18) 编辑
谈谈基于OAuth 2.0的第三方认证 [中篇]
摘要：虽然我们在《上篇》分别讨论了4种预定义的Authorization Grant类型以及它们各自的适用场景的获取Access Token的方式，我想很多之前没有接触过OAuth 2.0的读者朋友们依然会有“不值所云” 之感，所以在介绍的内容中，我们将采用实例演示的方式对Implicit和Authorization Code这两种常用的Authorization Grant作深入介绍。本章着重介绍Implicit Authorization Grant。 阅读全文
posted @ 2013-12-20 08:25 Artech 阅读(23124) 评论(16) 推荐(24) 编辑
谈谈基于OAuth 2.0的第三方认证 [上篇]
摘要：在Internet环境下，我们针对具体的Web应用设计独立的认证系统往往是一件“吃力不讨好”的事情。如果我们开发一个很小的Web应用，可能在实现用户认证功能上面花费的成本比实现应用自身业务功能的成本更大，而且还会因为“信任危机”导致潜在的使用者不敢注册。 在这种情况下，如果一个值得信任的第三方能够提供一种免费的认证服务，那么这两个问题均会迎刃而解。实际上目前这样的第三方认证服务很多，而且他们的提供者均为值得信赖的IT服务提供商，比如微软、Google、Facebook、Twitter，以及国内的新浪、腾讯、网易、人人和豆瓣等。就目前来说，这些第三方认证服务绝大部分均是基于OAuth 2.0设计的。 阅读全文
posted @ 2013-12-19 09:00 Artech 阅读(20556) 评论(22) 推荐(30) 编辑
JavaScript跨域调用、JSONP、CORS与ASP.NET Web API[共8篇]
摘要：同源策略（Same Origin Policy）的存在导致了“源”自A的脚本只能操作“同源”页面的DOM，“跨源”操作来源于B的页面将会被拒绝。同源策略以及跨域资源共享在大部分情况下针对的是Ajax请求。同源策略主要限制了通过XMLHttpRequest实现的Ajax请求，如果请求的是一个“异源”地址，浏览器将不允许读取返回的内容。JSONP和CORS是两种常用的解决方案，本系列文章主要针对两者在ASP.NET Web API的应用展开讨论。 阅读全文
posted @ 2013-12-18 09:44 Artech 阅读(8023) 评论(6) 推荐(12) 编辑
跨域资源共享（CORS）在ASP.NET Web API中是如何实现的？
摘要：在《通过扩展让ASP.NET Web API支持W3C的CORS规范》中，我们通过自定义的HttpMessageHandler自行为ASP.NET Web API实现了针对CORS的支持，实际上ASP.NET Web API自身也是这么做的，该自定义HttpMessageHandler就是System.Web.Http.Cors.CorsMessageHandler。 阅读全文
posted @ 2013-12-16 08:29 Artech 阅读(12584) 评论(16) 推荐(11) 编辑
ASP.NET Web API自身对CORS的支持: CORS授权检验的实施
摘要：通过《EnableCorsAttribute特性背后的故事》我们知道：由CorsPolicyProvider提供的CorsPolicy表示目标Action采用的资源授权策略，ASP.NET Web API最终需要利用它对具体的跨域资源请求实施授权检验并生成相应的CORS响应报头，而这是通过ASP.NET自身提供的CORS引擎来完成的。 阅读全文
posted @ 2013-12-13 08:57 Artech 阅读(6995) 评论(2) 推荐(4) 编辑
ASP.NET Web API自身对CORS的支持: EnableCorsAttribute特性背后的故事
摘要：从编程的角度来讲，ASP.NET Web API针对CORS的实现仅仅涉及到HttpConfiguration的扩展方法EnableCors和EnableCorsAttribute特性。但是整个CORS体系不限于此，在它们背后隐藏着一系列的类型，我们将会利用本章余下的内容对此作全面讲述，今天我们就来讨论一下用于定义CORS授权策略的EnableCorsAttribute特性背后的故事。 阅读全文
posted @ 2013-12-11 09:31 Artech 阅读(15746) 评论(3) 推荐(6) 编辑
ASP.NET Web API自身对CORS的支持：从实例开始
摘要：在《通过扩展让ASP.NET Web API支持W3C的CORS规范》中我们通过自定义的HttpMessageHandler为ASP.NET Web API赋予了跨域资源共享的能力，实际上ASP.NET Web API本身就提供了针对CORS的支持，就其实现原理来看，与我们的实现没有本质的区别。接下来我们通过实例演示如何利用ASP.NET Web API自身的支持来实现“跨域资源共享”。 阅读全文
posted @ 2013-12-10 08:36 Artech 阅读(25826) 评论(21) 推荐(17) 编辑
通过扩展让ASP.NET Web API支持W3C的CORS规范
摘要：让ASP.NET Web API支持JSONP和W3C的CORS规范是解决“跨域资源共享”的两种途径，在《通过扩展让ASP.NET Web API支持JSONP》中我们实现了前者，并且在《W3C的CORS Specification》一文中我们对W3C的CORS规范进行了详细介绍，现在我们通过一个具体的实例来演示如何利用ASP.NET Web API具有的扩展点来实现针对CORS的支持。 阅读全文
posted @ 2013-12-09 09:01 Artech 阅读(13381) 评论(24) 推荐(23) 编辑
通过扩展让ASP.NET Web API支持JSONP
摘要：同源策略主要限制了通过XMLHttpRequest实现的Ajax请求，如果请求的是一个“异源”地址，浏览器将不允许读取返回的内容。JSONP是一种常用的解决跨域资源共享的解决方案，现在我们利用ASP.NET Web API自身的扩展性提供一种“通用”的JSONP实现方案。 阅读全文
posted @ 2013-12-05 23:00 Artech 阅读(21134) 评论(36) 推荐(33) 编辑
[CORS：跨域资源共享] W3C的CORS Specification
摘要：随着Web开放的程度越来越高，通过浏览器跨域获取资源的需求已经变得非常普遍。在我看来，如果Web API不能针对浏览器提供跨域资源共享的能力，它甚至就不应该被称为Web API。从另一方面来看，浏览器作为进入Internet最大的入口，是各大IT公司的必争之地，所以浏览器市场出现了种类繁多、鱼龙混杂的局面。针对这两点，我们迫切需要一种能够被各个浏览器厂商共同遵循的标准来对跨域资源共享作出规范，这就是由W3C指定2的CORS（Cross-Origin Resource Sharing）规范 阅读全文
posted @ 2013-12-04 22:47 Artech 阅读(16917) 评论(8) 推荐(11) 编辑
[CORS：跨域资源共享] 同源策略与JSONP
摘要：Web API普遍采用面向资源的REST架构，将浏览器最终执行上下文的JavaScript应用Web API消费者的重要组成部分。“同源策略”限制了JavaScript的跨站点调用，这必然导致Web API不能垮域提供资源。如果Web API仅限于为“同源客户端”提供资源，那么它都对不起自己的名字，因为Web本身是一个开放的协议。那么ASP.NET Web API通过怎样的方式来实现跨域资源共享呢？ 阅读全文
posted @ 2013-12-04 10:48 Artech 阅读(26117) 评论(18) 推荐(23) 编辑