Как аннулировать токен OAuth при изменении пароля?

Question

Мы используем идентификатор ASP.NET в проекте Web Api с SimpleAuthorizationServerProvider, мы используем OAuth-tokens для авторизации каждого запроса, исходящего от клиента. (Токены имеют и истекают временные интервалы, мы не используем токены обновления.)

Когда пользователи меняют свой пароль, я хотел бы аннулировать маркеры, которые у них могут быть, возможно, на других устройствах. Есть ли способ явно сделать это? Я экспериментировал и видел, что существующие токены работают без каких-либо проблем после смены пароля, что должно быть предотвращено.

Я подумал о том, чтобы положить хэш хэша или часть хэша в токен OAuth в качестве претензии и подтвердить это в методе OnAuthorization нашего производного фильтра AuthorizeAttribute.
Будет ли это правильным способом решения проблемы?

Answer 1

Я не рекомендую помещать хэш пароля в качестве претензии, и я считаю, что нет прямого способа аннулировать токен при изменении пароля.

Но если вы используете БД с каждым запросом, отправляйте его с клиентского приложения на защищенную конечную точку API, вам необходимо сохранить идентификатор токена (возможно, Guid) для каждого маркера, предоставленного владельцу ресурса, запрошенному им. Затем вы назначаете идентификатор токена в качестве пользовательской заявки для этого токена, после чего вам нужно проверить эту таблицу с каждым запросом, ища идентификатор маркера и имя пользователя для владельца ресурса.

После изменения пароля вы удаляете эту запись идентификатора этого токена для этого владельца ресурса (пользователя), а в следующий раз, когда токен, отправленный с клиента, будет отклонен, поскольку запись для этого идентификатора маркера и владельца ресурса была удалена.

Answer 2

Я основывал свой подход на предложении Тайсера. Суть решения заключается в следующем. Каждый раз, когда пользователь меняет свой пароль (и когда регистрируется), создается новый GUID и сохраняется в базе данных в таблице User. Я называю этот идентификатор штампом и сохраняю его в собственности под названием LatestPasswordStamp.

Эта марка должна быть отправлена ​​клиенту как часть токена в качестве требования. Это может быть достигнуто с помощью следующего кода в методе GrantResourceOwnerCredentials для реализации OAuthAuthorizationServerProvider.

identity.AddClaim(new Claim("PasswordTokenClaim", user.LatestPasswordStamp.ToString())); 

Этот штамп будет послан от клиента к серверу в каждом запросе, и он подтвердил, что печать не была изменена в базе данных. Если это так, это означает, что пользователь изменил свой пароль, возможно, с другого устройства. Проверка выполняется в нашем настраиваемом фильтре авторизации следующим образом.

public class AuthorizeAndCheckStampAttribute : AuthorizeAttribute 
{ 
    public override void OnAuthorization(HttpActionContext actionContext) 
    { 
     var claimsIdentity = actionContext.RequestContext.Principal.Identity as ClaimsIdentity; 
     if(claimsIdentity == null) 
     { 
      this.HandleUnauthorizedRequest(actionContext); 
     } 

     // Check if the password has been changed. If it was, this token should be not accepted any more. 
     // We generate a GUID stamp upon registration and every password change, and put it in every token issued. 
     var passwordTokenClaim = claimsIdentity.Claims.FirstOrDefault(c => c.Type == "PasswordTokenClaim"); 

     if(passwordTokenClaim == null) 
     { 
      // There was no stamp in the token. 
      this.HandleUnauthorizedRequest(actionContext); 
     } 
     else 
     { 
      MyContext ctx = (MyContext)System.Web.Mvc.DependencyResolver.Current.GetService(typeof(MyContext)); 

      var userName = claimsIdentity.Claims.First(c => c.Type == ClaimTypes.Name).Value; 

      if(ctx.Users.First(u => u.UserName == userName).LatestPasswordStamp.ToString() != passwordTokenClaim.Value) 
      { 
       // The stamp has been changed in the DB. 
       this.HandleUnauthorizedRequest(actionContext); 
      } 
     } 

     base.OnAuthorization(actionContext); 
    } 
} 

Таким образом, клиент получает ошибку авторизации, если он пытается разрешить себя с маркером, который был выдан до того как пароль был изменен.