[翻译]创建ASP.NET WebApi RESTful 服务（8）

本章讨论创建安全的WebApi服务，到目前为止，我们实现的API都是基于未加密的HTTP协议，大家都知道在Web中传递身份信息必须通过HTTPS，接下来我们来实现这一过程。

使用HTTPS

其实可以通过IIS配置，将整个WebApi的访问都配置为Https，但实际上，如果希望只是对部分方法进行认证，那就必须通过认证身份信息进行处理。

下面介绍通过Filter来实现这一过程，如果身份认证不通过，就返回一条信息，提示访问者通过https进行访问。

public class ForceHttpsAttribute : AuthorizationFilterAttribute
    {
        public override void OnAuthorization(System.Web.Http.Controllers.HttpActionContext actionContext)
        {
            var request = actionContext.Request;

            if (request.RequestUri.Scheme != Uri.UriSchemeHttps)
            {
                var html = "<p>Https is required</p>";

                if (request.Method.Method == "GET")
                {
                    actionContext.Response = request.CreateResponse(HttpStatusCode.Found);
                    actionContext.Response.Content = new StringContent(html, Encoding.UTF8, "text/html");

                    UriBuilder httpsNewUri = new UriBuilder(request.RequestUri);
                    httpsNewUri.Scheme = Uri.UriSchemeHttps;
                    httpsNewUri.Port = 443;

                    actionContext.Response.Headers.Location = httpsNewUri.Uri;
                }
                else
                {
                    actionContext.Response = request.CreateResponse(HttpStatusCode.NotFound);
                    actionContext.Response.Content = new StringContent(html, Encoding.UTF8, "text/html");
                }

            }
        }
    }

通过actionContext参数获取Request和Response对象，对URI进行检查，如果不是以HTTPS开头，就返回443代码。

使用的方法有两种，一种是在WebAPIConfig中注册为全局的Attribute。

  public static void Register(HttpConfiguration config)
    {
        config.Filters.Add(new ForceHttpsAttribute());
    }

另一种是对制定的类或者方法进行拦截。

//Enforce HTTPS on the entire controller
    [Learning.Web.Filters.ForceHttps()]
    public class CoursesController : BaseApiController
    {
        //Enforce HTTPS on POST method only
        [Learning.Web.Filters.ForceHttps()]
        public HttpResponseMessage Post([FromBody] CourseModel courseModel)
        {

        }
    }

通过Basic Authentication进行认证

当前所有的API都是Public的，网络上的任意用户都可以请求资源。实际的项目中肯定要对访问者进行必要的限制。

• 假设对于客户端的请求“http://{your_port}/api/students/{userName}”，当有正确的身份信息时，我们返回username为 “TaiseerJoudeh”的信息，否则，返回错误；
• 如果请求是POST类型，如“http://{your_port}/api/courses/2/students/{userName}”，那么修改者也必须通过身份认证才可以进行修改。

什么是Basic Authentication

Basic Authentication提供了一种在Http Request被处理之前先行进行身份认证的模式，它在防止Dos等方面具有重要作用。Basic Authentication要求在请求时必须在Http Header提供基于Base64编码的用户名和密码信息。这种认证一般应该通过HTTPS来实现。

public class LearningAuthorizeAttribute : AuthorizationFilterAttribute
   {

       [Inject]
       public LearningRepository TheRepository { get; set; }

       public override void OnAuthorization(System.Web.Http.Controllers.HttpActionContext actionContext)
       {
           //Case that user is authenticated using forms authentication
           //so no need to check header for basic authentication.
           if (Thread.CurrentPrincipal.Identity.IsAuthenticated)
           {
               return;
           }

           var authHeader = actionContext.Request.Headers.Authorization;

           if (authHeader != null)
           {
               if (authHeader.Scheme.Equals("basic", StringComparison.OrdinalIgnoreCase) &&
               !String.IsNullOrWhiteSpace(authHeader.Parameter))
               {
                   var credArray = GetCredentials(authHeader);
                   var userName = credArray[0];
                   var password = credArray[1];

                   if (IsResourceOwner(userName, actionContext))
                   {
                       //You can use Websecurity or asp.net memebrship provider to login, for
                       //for he sake of keeping example simple, we used out own login functionality
                       if (TheRepository.LoginStudent(userName, password))
                       {
                           var currentPrincipal = new GenericPrincipal(new GenericIdentity(userName), null);
                           Thread.CurrentPrincipal = currentPrincipal;
                           return;
                       }
                   }
               }
           }

           HandleUnauthorizedRequest(actionContext);
       }

       private string[] GetCredentials(System.Net.Http.Headers.AuthenticationHeaderValue authHeader)
       {

           //Base 64 encoded string
           var rawCred = authHeader.Parameter;
           var encoding = Encoding.GetEncoding("iso-8859-1");
           var cred = encoding.GetString(Convert.FromBase64String(rawCred));

           var credArray = cred.Split(':');

           return credArray;
       }

       private bool IsResourceOwner(string userName, System.Web.Http.Controllers.HttpActionContext actionContext)
       {
           var routeData = actionContext.Request.GetRouteData();
           var resourceUserName = routeData.Values["userName"] as string;

           if (resourceUserName == userName)
           {
               return true;
           }
           return false;
       }

       private void HandleUnauthorizedRequest(System.Web.Http.Controllers.HttpActionContext actionContext)
       {
           actionContext.Response = actionContext.Request.CreateResponse(HttpStatusCode.Unauthorized);

           actionContext.Response.Headers.Add("WWW-Authenticate",
           "Basic Scheme='eLearning' location='http://localhost:8323/account/login'");

       }
   }

上述代码实现了以下逻辑：

1. 从Request Header中获取认证信息；
2. 确认Header的Schema被设置为basic，并包含了正确的Base64编码字符串；
3. 将字符串转换为“username:password”格式，获取各自内容；
4. 验证身份信息，确定是否具有相应权限；
5. 如果Credentials验证无误，设置当前线程的Identity信息，以便子请求能够重用；
6. 如果验证有无，则返回401错误。

现在可以对指定的方法进行标记。

   1:      public class StudentsController : BaseApiController

   2:      {

   3:          [LearningAuthorizeAttribute]

   4:          public HttpResponseMessage Get(string userName)

   5:          {

   6:   

   7:          }

   8:      }

   9:   

  10:      public class EnrollmentsController : BaseApiController

  11:      {

  12:          [LearningAuthorizeAttribute]

  13:          public HttpResponseMessage Post(int courseId, [FromUri]string userName, [FromBody]Enrollment enrollment)

  14:          {

  15:   

  16:          }

  17:      }

现在分别用FireFox和Fiddler进行测试。假设路径如下：http://localhost:{your_port}/api/students/TaiseerJoudeh。

• FireFox：返回401，因为没有身份信息，一个弹出框会弹出，要求输入用户名和密码。输入正确的用户名和密码，就可以看到返回的json信息。而接下来的子请求，则无需再进行认证；
• Fiddler：需要先拼接一个Base64加密“username:password”字符串，可以通过这里实现。注意：这不能算是加密，真正的加密必须通过HTTPS实现。当用户名密码正确时，会返回200和正确的json信息。

 

来源：http://bitoftech.net/2013/12/03/enforce-https-asp-net-web-api-basic-authentication/