ASP.NET Core 2.0, объединяющий файлы cookie и авторизацию на предъявителя для одной и той же конечной точки

Ответ 1

Я думаю, вам не нужно устанавливать AuthenticationScheme для вашего контроллера. Просто используйте аутентифицированного пользователя в ConfigureServices следующим образом:

// requires: using Microsoft.AspNetCore.Authorization;
//           using Microsoft.AspNetCore.Mvc.Authorization;
services.AddMvc(config =>
{
    var policy = new AuthorizationPolicyBuilder()
                     .RequireAuthenticatedUser()
                     .Build();
    config.Filters.Add(new AuthorizeFilter(policy));
});

Для документации моих источников: registerAuthorizationHandlers

Для части, если схема-ключ был недействительным, вы можете использовать интерполированную строку, чтобы использовать правильные ключи:

[Authorize(AuthenticationSchemes = $"{CookieAuthenticationDefaults.AuthenticationScheme},{JwtBearerDefaults.AuthenticationScheme}")]

Редактировать: я провел дальнейшие исследования и пришел к следующему выводу: невозможно авторизовать метод с двумя схемами или подобными, но вы можете использовать два открытых метода для вызова частного метода, подобного этому:

//private method
private IActionResult GetThingPrivate()
{
   //your Code here
}

//Jwt-Method
[Authorize(AuthenticationSchemes = $"{JwtBearerDefaults.AuthenticationScheme}")]
[HttpGet("bearer")]
public IActionResult GetByBearer()
{
   return GetThingsPrivate();
}

 //Cookie-Method
[Authorize(AuthenticationSchemes = $"{CookieAuthenticationDefaults.AuthenticationScheme}")]
[HttpGet("cookie")]
public IActionResult GetByCookie()
{
   return GetThingsPrivate();
}

Ответ 2

Если я правильно понимаю вопрос, то я считаю, что есть решение. В следующем примере я использую проверку подлинности на основе файлов cookie и предъявителя в одном приложении. Атрибут [Authorize] можно использовать без указания схемы, и приложение будет реагировать динамически, в зависимости от используемого метода авторизации.

services.AddAuthentication вызывается дважды, чтобы зарегистрировать 2 схемы аутентификации. Ключом к решению является вызов services.AddAuthorization в конце фрагмента кода, который указывает ASP.NET использовать ОБА схемы.

Я проверил это, и, кажется, работает хорошо.

(На основе документов Microsoft.)

services.AddAuthentication(options =>
    {
        options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
        options.DefaultChallengeScheme = "oidc";
    })
    .AddCookie(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddOpenIdConnect("oidc", options =>
    {
        options.SignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;
        options.Authority = "https://localhost:4991";
        options.RequireHttpsMetadata = false;

        options.ClientId = "WebApp";
        options.ClientSecret = "secret";

        options.ResponseType = "code id_token";
        options.Scope.Add("api");
        options.SaveTokens = true;
    });

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.Authority = "https://localhost:4991";
        options.RequireHttpsMetadata = false;
        // name of the API resource
        options.Audience = "api";
    });

services.AddAuthorization(options =>
{
    var defaultAuthorizationPolicyBuilder = new AuthorizationPolicyBuilder(
        CookieAuthenticationDefaults.AuthenticationScheme,
        JwtBearerDefaults.AuthenticationScheme);
    defaultAuthorizationPolicyBuilder =
        defaultAuthorizationPolicyBuilder.RequireAuthenticatedUser();
    options.DefaultPolicy = defaultAuthorizationPolicyBuilder.Build();
});

РЕДАКТИРОВАТЬ

Это работает для аутентифицированных пользователей, но просто возвращает 401 (не авторизованный), если пользователь еще не вошел в систему.

Чтобы гарантировать, что неавторизованные пользователи будут перенаправлены на страницу входа, добавьте следующий код в метод Configure в своем классе запуска. Примечание: важно, чтобы новое промежуточное ПО было размещено после вызова app.UseAuthentication().

app.UseAuthentication();
app.Use(async (context, next) =>
{
    await next();
    var bearerAuth = context.Request.Headers["Authorization"]
        .FirstOrDefault()?.StartsWith("Bearer ") ?? false;
    if (context.Response.StatusCode == 401
        && !context.User.Identity.IsAuthenticated
        && !bearerAuth)
    {
        await context.ChallengeAsync("oidc");
    }
});

Если вы знаете более чистый способ добиться этого перенаправления, пожалуйста, оставьте комментарий!