Проверка маркера Azure Mobile Service в службе WebApi

Question

Я пытаюсь реализовать аутентификацию и идентификацию в кросс-платформенном мобильном приложении, использующем службу WebApi.

Мой план заключается в том, чтобы экспортировать аутентификацию в федеративную облачную службу, такую ​​как новая Azure Mobile Service. Приложение Client Mobile будет использовать поток аутентификации Mobile Service, получить токен и будет передавать его в заголовки запросов в WebApi, что, в свою очередь, будет проверять его и извлекать из него UserId.

Предполагая, что я уже настроил WebApi для проверки токенов JWT с использованием перехватчика DelegatingHandler, можно проверить токены, выданные Azure Mobile Service?

Каковы правильные значения для SymmetricKey, Эмитента и Аудитории?

Я иду в правильном направлении?

Answer 1

Публикация на http://www.thejoyofcode.com/Generating_your_own_ZUMO_auth_token_Day_8_.aspx показывает, как генерирует токен Azure Mobile Service, но у него есть информация, необходимая для его проверки. В принципе, ключ, который вы должны использовать для проверки, это главный ключ из службы (не распространяйте этот ключ на любых клиентов, но если он безопасно закодирован в вашей службе, это должно быть хорошо). Аудитория зависит от поставщика, который создал токен (например, для FB, это строка "Facebook"). Эмитент установлен в urn:microsoft:windows-azure:zumo.

Answer 2

Что вам нужно сделать в вашем проекте WebAPI, это реализовать специальный обработчик сообщений, чтобы перехватить токен и подтвердить его подписью, используя тот же главный ключ от AMS. Существует проект на GitHub, который показывает, как это сделать:

JWT Validator

Это было в основном производным от другого проекта GitHub, который имеет оригинальный образец ASP.NET здесь:

AuthenticationTokenSample

Основная проверка выполняется при вызове метода ValidateSignature(), который берет байты представления UTF-8 сегмента претензии JWT и вычисляет MAC MAC HMAC SHA-256 с использованием общего ключа от Azure Mobile Services. Если JWT Crypto Segment и ранее вычисленное значение, то есть подтверждение того, что ключ использовался для генерации HMAC на JWT и что содержимое сегмента претензии JWT не подделано.

Одно главное, что я нашел, чтобы удалить прилагаемой "JWTSig" строки из, добавленными к мастер-ключа в методе ValidateSignature(). Кажется, что токены, которые подписываются, больше не добавляют эту строку к главному ключу больше от AMS. У меня были всевозможные проблемы с получением валидации, пока я не удалю этот сегмент.