asp.net-core - route - select asp-for asp-items

Autenticación básica en ASP.NET Core

Question

Pregunta

¿Cómo puedo implementar la Autenticación básica con membresía personalizada en una aplicación web ASP.NET Core?

Notas

• En MVC 5 estaba usando las instrucciones de este artículo que requieren agregar un módulo en WebConfig .

• Todavía estoy implementando mi nueva aplicación MVC Core en IIS pero este enfoque parece no funcionar.

• Tampoco quiero utilizar el soporte integrado de IIS para la autenticación básica, ya que usa las credenciales de Windows.

Answer 1

ASP.NET Core 2.0 introdujo cambios de última hora en Autenticación e Identidad.

En 1.x, los proveedores de autenticación se configuraron a través de Middleware (como la implementación de la respuesta aceptada). En 2.0 está basado en servicios.

Detalles en MS doc: https://docs.microsoft.com/en-us/aspnet/core/migration/1x-to-2x/identity-2x

Escribí una implementación de Autenticación básica para ASP.NET Core 2.0 y la publiqué en NuGet: https://github.com/bruno-garcia/Bazinga.AspNetCore.Authentication.Basic

Answer 2

ASP.NET Security no incluirá middleware de Autenticación Básica debido a su potencial inseguridad y problemas de rendimiento.

Si necesita middleware de Autenticación Básica para realizar pruebas, consulte https://github.com/blowdart/idunno.Authentication

Answer 3

Implementamos la seguridad Digest para un servicio interno mediante el uso de un ActionFilter:

public class DigestAuthenticationFilterAttribute : ActionFilterAttribute
{
private const string AUTH_HEADER_NAME = "Authorization";
private const string AUTH_METHOD_NAME = "Digest ";
private AuthenticationSettings _settings;
public DigestAuthenticationFilterAttribute(IOptions<AuthenticationSettings> settings)
{
_settings = settings.Value;
}
public override void OnActionExecuting(ActionExecutingContext context)
{
ValidateSecureChannel(context?.HttpContext?.Request);
ValidateAuthenticationHeaders(context?.HttpContext?.Request);
base.OnActionExecuting(context);
}
private void ValidateSecureChannel(HttpRequest request)
{
if (_settings.RequireSSL && !request.IsHttps)
{
throw new AuthenticationException("This service must be called using HTTPS");
}
}
private void ValidateAuthenticationHeaders(HttpRequest request)
{
string authHeader = GetRequestAuthorizationHeaderValue(request);
string digest = (authHeader != null && authHeader.StartsWith(AUTH_METHOD_NAME)) ? authHeader.Substring(AUTH_METHOD_NAME.Length) : null;
if (string.IsNullOrEmpty(digest))
{
throw new AuthenticationException("You must send your credentials using Authorization header");
}
if (digest != CalculateSHA1($"{_settings.UserName}:{_settings.Password}"))
{
throw new AuthenticationException("Invalid credentials");
}
}
private string GetRequestAuthorizationHeaderValue(HttpRequest request)
{
return request.Headers.Keys.Contains(AUTH_HEADER_NAME) ? request.Headers[AUTH_HEADER_NAME].First() : null;
}
public static string CalculateSHA1(string text)
{
var sha1 = System.Security.Cryptography.SHA1.Create();
var hash = sha1.ComputeHash(Encoding.UTF8.GetBytes(text));
return Convert.ToBase64String(hash);
}
}

Luego puede anotar los controladores o métodos a los que desea acceder con Digest Security:

[Route("api/xxxx")]
[ServiceFilter(typeof(DigestAuthenticationFilterAttribute))]
public class MyController : Controller
{
[HttpGet]
public string Get()
{
return "HELLO";
}
}

Para implementar la seguridad básica, simplemente cambie DigestAuthenticationFilterAttribute para no usar SHA1, pero dirija la decodificación Base64 del encabezado Authorization.