example - Autenticación API web ASP.NET MVC 4 con proveedor de membresía

asp.net core mvc

Question

Tengo un proyecto ASP.NET MVC 4 usando la API web. En el controlador, he establecido que la clase requiera autorización utilizando el atributo [Autorizar]. Para la autenticación, estoy usando el proveedor de membresía de ASP.NET y tengo configurado mi Web.Config para usar la autenticación de "Formularios". Aquí es donde estoy atrapado:

Todo funciona bien hasta el punto en que he terminado de probar la API y quiero asegurar el controlador con el atributo [Autorizar] para poder comenzar a probar la autenticación contra los usuarios de mi Proveedor de Membresía. Así que enciendo el Fiddler y hago la misma llamada agregando el atributo de Autorización: Básico junto con un nombre de usuario: contraseña de mi proveedor de membresía, así:

La respuesta que recibo es 401 no autorizada y en "Auth" obtengo "No hay encabezado WWW-Authenticate presente". Entonces me doy cuenta de que la API está buscando una clave codificada SHA1. Así que arranco un generador SHA1 de una búsqueda y obtengo un hash para mi nombre de usuario: contraseña y actualizo mi Encabezado de solicitud así:

Esto tampoco funciona y obtengo los mismos resultados. También obviamente necesito algún tipo de "clave secreta compartida" para usar con el servidor para decodificar mi nombre de usuario / contraseña.

Entonces mis preguntas:

1. ¿Cómo obtengo esta clave del servidor (o en este caso Virtual IIS ejecutándose VS 2012).
2. ¿Cómo puedo usar esto para hacer llamadas autenticadas en Fiddler usando nombres de usuario / contraseñas de un proveedor de membresía de ASP.NET?
3. ¿Cómo usaré esto en mi aplicación cliente para hacer las mismas llamadas (aplicación C # WPF)?
4. ¿Es esto mejor práctico cuando se combina con SSL en mis llamadas HTTP? Si no es lo que es?

¡Gracias por adelantado!

Answer 1

Puede usar autenticación básica con SSL. Del lado del servidor podríamos escribir un controlador de delegación personalizado que verificará las credenciales consultando al proveedor de membresía que registramos, y si es válido, recupere las funciones y establezca el principal actual:

public class BasicAuthenticationMessageHandler : DelegatingHandler
{
    protected override Task<HttpResponseMessage> SendAsync(HttpRequestMessage request, CancellationToken cancellationToken)
    {
        var authHeader = request.Headers.Authorization;

        if (authHeader == null)
        {
            return base.SendAsync(request, cancellationToken);
        }

        if (authHeader.Scheme != "Basic")
        {
            return base.SendAsync(request, cancellationToken);
        }

        var encodedUserPass = authHeader.Parameter.Trim();
        var userPass = Encoding.ASCII.GetString(Convert.FromBase64String(encodedUserPass));
        var parts = userPass.Split(":".ToCharArray());
        var username = parts[0];
        var password = parts[1];

        if (!Membership.ValidateUser(username, password))
        {
            return base.SendAsync(request, cancellationToken);
        }

        var identity = new GenericIdentity(username, "Basic");
        string[] roles = Roles.Provider.GetRolesForUser(username);
        var principal = new GenericPrincipal(identity, roles);
        Thread.CurrentPrincipal = principal;
        if (HttpContext.Current != null)
        {
            HttpContext.Current.User = principal;
        }

        return base.SendAsync(request, cancellationToken);
    }
}

A continuación, registramos este controlador en Application_Start :

GlobalConfiguration.Configuration.MessageHandlers.Add(
    new BasicAuthenticationMessageHandler()
);

Ahora podríamos tener un controlador Api que se decorará con el atributo [Autorizar] para garantizar que solo los usuarios autenticados puedan acceder a sus acciones:

[Authorize]
public class ValuesController : ApiController
{
    public string Get()
    {
        return string.Format("Hello {0}", User.Identity.Name);
    }
}

Bien, ahora veamos un ejemplo de cliente:

using System;
using System.Net;
using System.Net.Http;
using System.Net.Http.Headers;
using System.Text;

class Program
{
    static void Main()
    {
        // since for testing purposes I am using IIS Express
        // with an invalid SSL certificate I need to desactivate
        // the check for this certificate.
        ServicePointManager.ServerCertificateValidationCallback += 
            (sender, certificate, chain, sslPolicyErrors) => true;

        using (var client = new HttpClient())
        {
            var buffer = Encoding.ASCII.GetBytes("john:secret");
            var authHeader = new AuthenticationHeaderValue("Basic", Convert.ToBase64String(buffer));
            client.DefaultRequestHeaders.Authorization = authHeader;
            var task = client.GetAsync("https://localhost:44300/api/values");
            if (task.Result.StatusCode == HttpStatusCode.Unauthorized)
            {
                Console.WriteLine("wrong credentials");
            }
            else
            {
                task.Result.EnsureSuccessStatusCode();
                Console.WriteLine(task.Result.Content.ReadAsAsync<string>().Result);
            }
        }
    }
}