如何使用标识和实体框架在.NET Core 2.0中管理身份验证和身份验证

Question

简介

在过去的几天里，我一直在从事小型宠物项目，目标是学习由实体框架核心支持的标识的.NET Core 2.0。它是一个典型的"WebAPI"类型项目，具有基于 cookie 的身份验证和基于声明的授权。它由某些客户端应用程序 (SPA) 使用。

法典

授权和身份验证流在启动中以这种方式配置.cs

services
.AddIdentity<ApplicationUser, IdentityRole> ()
.AddEntityFrameworkStores<ApplicationDbContext> ()
.AddDefaultTokenProviders ();
services
.AddAuthentication (sharedOptions => {
sharedOptions.DefaultAuthenticateScheme = CookieAuthenticationDefaults.AuthenticationScheme;
sharedOptions.DefaultSignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;
})
.AddCookie ();

我的登录控制器操作如下所示：

[HttpPost]
[Route ("login")]
public async Task<IActionResult> Login ([FromBody] LogInCredentialsModel credentials) {
// Get User for given UserName
var user = await userManager.Users.FirstOrDefaultAsync (p => p.UserName == credentials.UserName);
//User not found
if (user == default (ApplicationUser))
return StatusCode (400);
// Check if password is correct
var result = await signInManager.PasswordSignInAsync (user, credentials.Password, true, false);
if (result.Succeeded) {
//Basic claims with Name and Email
List<Claim> claims = new List<Claim> {
new Claim (ClaimTypes.Name, user.UserName),
new Claim (ClaimTypes.Email, user.Email)
};
var userRoles = await this.GetUserRoles (user); // Custom helper method to get list of user roles
// Add Role claims
foreach (var role in userRoles) {
claims.Add (new Claim (ClaimTypes.Role, role));
}
ClaimsIdentity identity = new ClaimsIdentity (claims, CookieAuthenticationDefaults.AuthenticationScheme);
ClaimsPrincipal principal = new ClaimsPrincipal (identity);
// Sign in using cookie scheme
await HttpContext.SignInAsync (CookieAuthenticationDefaults.AuthenticationScheme, principal, new AuthenticationProperties {
IsPersistent = true,
});
return Ok ();
} else {
return StatusCode (400);
}
}

问题

1. 这些声明将存储在加密的用户 cookie 中。这意味着，如果我从用户中删除了一些声明并且他没有重新登录，他仍将分配旧的声明。我该如何防止这种情况？还是我误解了设计？
2. 用户将用户名和密码传递到登录路由，然后用于登录。在我的代码中，我必须首先找到具有给定用户名的用户(第 1 个 db 命中)，然后尝试使用 SignInManager 使用密码登录(第 2 个 db 命中)，读取角色(第 3 个 db 命中)以构建 ClaimsPrincipal，然后使用 HttpContext.SignInAsync，以便创建具有正确声明的用户 cookie。我个人觉得我错过了一些东西，结果我的代码过于复杂，至少一个数据库查询可以保存在这里。如何改进这部分？

Answer 1

这两个问题的答案都非常基本，所以也许你应该花更多的时间在文档中更好地处理这个问题。可是：

1. 是的。你是对的。更改声明时，还应注销用户。然后，您可以选择自动再次登录，无需用户干预，或提示用户重新登录(取决于您的个人安全首选项)。

2. 你为什么要手动完成所有这些操作？您所需要的只是：

   var result = await _signInManager.PasswordSignInAsync(model.Email, model.Password, model.RememberMe, lockoutOnFailure: false);
   

   它会自动对密码进行哈希处理，尝试使用该用户名(电子邮件地址)和哈希密码检索用户，然后创建一个包含所有这些信息的ClaimsPrincipal(如果成功)。一个就完成了。