единый вход с веб-API и ASP.NET MVC 5

Question

Я ищу использовать SSO с веб-API 2.2 для использования в различных приложениях, в том числе мобильных и ASP.NET MVC 5.

я получил основную идею создания токена аутентификации через web api, но у меня есть несколько вопросов:

1- Безопасно ли хранить токен аутентификации в файле cookie вместе с именем пользователя?

2- Могу ли я связать эту аутентификацию с системой идентификации в mvc и иметь возможность использовать роли?

3- Как проверить роли? мне нужно отправить запрос на api для каждого контроллера, отмеченного как авторизованный определенной ролью, чтобы убедиться, что это правильная роль для пользователя?

4 Если я вхожу в систему из веб-приложения и получаю токен аутентификации, а затем попытаюсь выполнить вход с мобильного устройства, отправит ли он тот же токен?

Answer 1

Хорошо, поэтому я отвечу на этот вопрос тем, что я сделал.

Базовая архитектура будет разделена на три основные части:

1- Сервер идентификации 4 (с помощью ядра asp.net).

2- Web api (используя основа asp.net).

3 Сторона клиента (с использованием углового 2), однако вы также можете использовать любую инфраструктуру на стороне клиента или ядро ​​asp.net.

Идентификационный сервер будет генерировать токены, которые будут отправляться с каждым запросом в веб-api, и он поддерживает идентификацию и роли asp.net. Таким образом, вы можете легко расширить его для мобильных устройств и отправить токен с каждым запросом.

ссылка на сервер идентичности 4 Docs: http://docs.identityserver.io/en/release/quickstarts/6_aspnet_identity.html

ссылку на GitHub, где вы можете найти еще примеры: https://github.com/IdentityServer/IdentityServer4

андроид работы с сервером идентичности 4: https://github.com/leo9223/Android-Resource-Owner-Flow-client-for-IdentityServer4

Примечание: для жереха .net mvc 5, вы можете использовать аутентификацию cookie (которая не будет работать на мобильных устройствах), но будет предоставлять SSO для отдельных приложений.