NET仿微信Oauth2.0

2018-06-22 06:08:34来源:未知 阅读 ()

新老客户大回馈,云服务器低至5折

这个文章先说一说Oauth2.0的原理,再到应用场景,最后才是代码实现,这样才学会最终的思想,并在应用场景使用,所谓实践出真理。

 

1,Oauth2.0的原理

OAuth是一个关于授权(authorization)的开放网络标准,在全世界得到广泛应用,目前的版本是2.0版。在互联网,经常用到OAuth2.0无非有三种场景:

1.1对外完全开放,系统与系统的对接,例如淘宝开放平台。

1.2内部系统对内部系统,如:(api.xxxx.com是一个子系统,web.xxxx.com是另外一个业务线的子系统,交给不同的团队处理,有NET,有JAVA)

1.3内部系统对内部客户端系统。如(API.xxxx.com是对外开放的接口系统,IOS,安卓,C/S客户端,相关对接).

 

综合三种应用场景,我们来分解一下Oauth2.0怎样在实践中使用。

在Oauth2.0的使用场景中,最常见到的就是对外完全开放,像淘宝开放平台,新浪,腾讯QQ,微信,大量使用Oauth2.0,相反,后两种由于都是内部使用,所以一般都存在内部,让我以为Oauth2.0授权模式只有第一种,其实不是,Oauth2.0分别有四种授权模式,分别为:

 

  • 授权码模式(authorization code)
  • 简化模式(implicit)
  • 密码模式(resource owner password credentials)
  • 客户端模式(client credentials)

 

而微信公众号采用的是授权码模式(authorization code),即颁发用户Appid,AppSecret,URL地址合法性,来进行统一调度与验证。,


 

 

 

1.1、授权码模式

授权码模式(authorization code)是功能最完整、流程最严密的授权模式。它的特点就是通过客户端的后台服务器,与"服务提供商"的认证服务器进行互动,所以一般开放平台首先这一类授权码模式,新浪开放平台,公众号API,淘宝开放平台都采用这一类,一般搭配HTTPS来提高安全机制。

微信公众号API就是采用这一种模式,我们来梳理一下授权码模式的流程:

它的步骤如下:

(A)用户访问客户端,后者将前者导向认证服务器。

(B)用户选择是否给予客户端授权。

(C)假设用户给予授权,认证服务器将用户导向客户端事先指定的"重定向URI"(redirection URI),同时附上一个授权码。

(D)客户端收到授权码,附上早先的"重定向URI",向认证服务器申请令牌。这一步是在客户端的后台的服务器上完成的,对用户不可见。

(E)认证服务器核对了授权码和重定向URI,确认无误后,向客户端发送访问令牌(access token)和更新令牌(refresh token)。

下面是上面这些步骤所需要的参数。

A步骤中,客户端申请认证的URI,包含以下参数:

  • response_type:表示授权类型,必选项,此处的值固定为"code"
  • client_id:表示客户端的ID,必选项
  • redirect_uri:表示重定向URI,可选项
  • scope:表示申请的权限范围,可选项
  • state:表示客户端的当前状态,可以指定任意值,认证服务器会原封不动地返回这个值。

再来看一看微信公众平台OAuth2.0授权详细步骤如下:

1. 用户关注微信公众账号。
2. 微信公众账号提供用户请求授权页面URL。
3. 用户点击授权页面URL,将向服务器发起请求
4. 服务器询问用户是否同意授权给微信公众账号(scope为snsapi_base时无此步骤)
5. 用户同意(scope为snsapi_base时无此步骤)
6. 服务器将CODE通过回调传给微信公众账号
7. 微信公众账号获得CODE
8. 微信公众账号通过CODE向服务器请求Access Token
9. 服务器返回Access Token和OpenID给微信公众账号
10. 微信公众账号通过Access Token向服务器请求用户信息(scope为snsapi_base时无此步骤)
11. 服务器将用户信息回送给微信公众账号(scope为snsapi_base时无此步骤)

 

 

是不是一目了然,那么根椐这个需求,整理一下流程为:

1,先去开放平台(api地址)申请一个CODE,(那么我们需要判断appid,请求过来的URL合法性,生成CODE,并附于某个时间有效,5分钟失效,仿微信,然后做持久存储)。

2,再根据CODE,APPID,AppSecret(平台颁发的应用ID及密锁),生成有效期的Access Token。(判断APPID,AppSecret合法性,然后根椐Appid获取持久存储层的Access Token,并把CODE取消合法,然后返回Access Token过期时间)

3,判断Access Token的合法化,完成。

流程梳理完了,我们就开始实现代码的编写:

 /// <summary>
        /// 对接商家,开放平台的接口
        /// </summary>
        /// <param name="AppId">应用ID</param>
        /// <param name="RedirectUri">授权回调地址</param>
        /// <param name="response_type"></param>
        /// <param name="scope"></param>
        /// <param name="state"></param>
        /// <returns></returns>
        [HttpGet]
        public dynamic authorize(string AppId, string RedirectUri, string response_type, string scope, string state)
        {
            //获取APPID应用表的字段
            var model = _ISellerApplication.Get(AppId);
          //判断APPID合法性及RedirectUri地址的合法
            if (model.AppId.Trim().ToLower() == model.AppId.ToLower() && RedirectUri.ToLower().Contains(model.ApplicationUrl.ToLower()))
            {
             

               //请求的地址合法性,如果不合法,直接返回
                if (!Request.RequestUri.AbsoluteUri.Contains(model.ApplicationUrl.ToLower()))
                {
                                    return Redirect($"{RedirectUri}?state={state}");
                }
                var appcodemodel = new AppCodeModel()
                {
                    AccessToken = string.Concat(Guid.NewGuid().ToString("N"), Guid.NewGuid().ToString("N")).ToLower().CutString(40),
                    AppCode = string.Concat(Guid.NewGuid().ToString("N"), Guid.NewGuid().ToString("N")).ToLower().CutString(40),
                    ApplicationUrl = RedirectUri,
                    CreateDate = DateTime.Now,
                   AppId=model.AppId

                };

                //如果插入成功,返回CODE给他们
                if (_IAppCode.Insert(appcodemodel))
                {
                    if (RedirectUri.Equals("?"))
                    { return Redirect($"{RedirectUri}&state={state}&code={appcodemodel.AppCode}");
                    }
                    else
                    { return Redirect($"{RedirectUri}?state={state}&code={appcodemodel.AppCode}");}
                }
            }
            //插入不成功,直接返回state
            return Redirect($"{RedirectUri}?state={state}");
        }

 

再实现第二步调用:

  /// <summary>
        ///通过网页授权获取access_token
        /// </summary>
        /// <param name="AppId"></param>
        /// <param name="AppSecret"></param>
        /// <param name="code"></param>
        /// <param name="grant_type"></param>
        /// <returns></returns>
        [HttpGet]
        public dynamic AccessToken(string AppId, string AppSecret, string code, string grant_type)
        {

//从持久层获取APPID模型
var model = _IAppSoft.Get(AppId); //判断Appid if (model == null || model.AppId.Trim() != AppId.Trim()) { return new ApiArgumentException(ApiArgumentExceptionEum.APPID出错.ToString(), (int)ApiArgumentExceptionEum.APPID出错); } //判断AppSecret if (model.AppSecret.Trim() != AppSecret.Trim()) { return new ApiArgumentException(ApiArgumentExceptionEum.AppSecret错误.ToString(), (int)ApiArgumentExceptionEum.AppSecret错误); } //获取CODE并判断,CODE是否在过期范围内,5表示5分钟内有效 var AppCodeModel = _IAppCode.Get(5)); if (AppCodeModel == null) { return new ApiArgumentException(ApiArgumentExceptionEum.不合法的oauth_code.ToString(), (int)ApiArgumentExceptionEum.不合法的oauth_code); } var apptokenmodel = new AppTokenModel() { AccessToken = AppCodeModel.AccessToken, AppId = AppId, ClientId = model.ClientId, CreateDate = DateTime.Now, ExpireDate = DateTime.Now.AddHours(2), Status = 0 };
//把AccessToken插入数据库,或者存储缓存
bool bl = _IAppToken.Insert(apptokenmodel);
//返回 AccessToken 及过期时间
return new { AccessToken = AppCodeModel.AccessToken, ExpireDate = 7200 }; }

 

现在仿微信都完成了授权的核心代码,第二步就可开始写AOP,然后统一验证AccessToken,由于用到的是WEB API2.0,所以我们统一写一个AOP类,并且继承  AuthorizationFilterAttribute, IActionFilter类,即可以写一个简单的AOP

代码如下:

namespace Saas.AOP
{

    [AttributeUsage(AttributeTargets.Class | AttributeTargets.Method, AllowMultiple = false)]

    

    public class AppOauthAuthentication : AuthorizationFilterAttribute, IActionFilter
    {
      
        protected AppTokenModel apptoken;

        public AppOauthAuthentication() { }

        public override void OnAuthorization(HttpActionContext actionContext)
        {
            var query = actionContext.Request.GetParamsFromUrl();

            var tokenString = query.Get("accessToken");


            if (string.IsNullOrWhiteSpace(tokenString) )
            {
                actionContext.Response = CreateResponse(actionContext, 101, "请检查oauth认证参数");
                return;
            }
            apptoken = new AppTokenBusiness().GetByAccessToken(tokenString);


            if (apptoken == null)
            {
                actionContext.Response = CreateResponse(actionContext, 102, "未找到指定的accessToken");
                return;
            }


            if (apptoken.ExpireDate < DateTime.Now)
            {
                actionContext.Response = CreateResponse(actionContext, 104, "accessToken已过期");
                return;
            }

            if (apptoken.Status == 1)
            {
                actionContext.Response = CreateResponse(actionContext, 105, "APPID已更正,当前accessToken已失效");
                return;
            }
           Thread.CurrentPrincipal = new GenericPrincipal(new GenericIdentity(apptoken.AppId), null);
            base.OnAuthorization(actionContext);
        }

}}

调用如下:

   /// <summary>
        /// 例子
        /// </summary>
    
        /// <returns></returns>
        [HttpPost, AppOauthAuthentication]
        public int test()
        {   
return 1;
}

而简单的一个仿微信的Oauth2.0,就完成了。

而关于Oauth2.0对于内部系统调用,以及APP怎样搭建一个通用的Oauth2.0,在明天再写,结合三种场景,搭建整一套的NET Oauth2.0系统,并完成跨平台。

由于公司项目,是整一套的,暂时没整理实现开放,有需要交流的可以加我微信,BON184195873,扫描以下二维码,备注:CNBLOGS即可以。

 

标签:

版权申明:本站文章部分自网络,如有侵权,请联系:west999com@outlook.com
特别注意:本站所有转载文章言论不代表本站观点,本站所提供的摄影照片,插画,设计作品,如需使用,请与原作者联系,版权归原作者所有

上一篇:WebAPI性能优化之压缩解压

下一篇:asp.net mvc ActionResult