ASP.NET 标识令牌方法接受所有 HTTP 方法

Question

我创建了pone webapi并实现了身份验证。我有令牌方法来获取用户令牌。一切正常。

场景：我和邮递员一起测试了令牌方法。在这里，我注意到我可以使用任何类型的HTTP方法来请求令牌。我认为/token 方法应该只支持 POST 方法。但是当我使用DELETE方法时，我也得到了令牌。同样，我也可以使用PUT，PATH等。

这是意料之中的吗？我假设它应该返回除 POST 请求之外不支持的方法。

Answer 1

您可以编写自定义 OAuthAuthorizationServerOptions.Provider。并使用上下文仅接受 Http Post 请求

OAuthAuthorizationServerOptions 是 asp.net 身份核心类，您可以在此命名空间 Microsoft.Owin.Security.OAuth 下找到它。

示例代码：

public partial class Startup
    {
        public void Configuration(IAppBuilder app)
        {
            ConfigureAuth(app);
        }
        public void ConfigureOAuth(IAppBuilder app)
        {
            OAuthAuthorizationServerOptions OAuthServerOptions = new OAuthAuthorizationServerOptions()
            {
                AllowInsecureHttp = true,
                TokenEndpointPath = new PathString("/token"),
                AccessTokenExpireTimeSpan = TimeSpan.FromDays(1),
                Provider = new SimpleAuthorizationServerProvider()
            };
            // Token Generation
            app.UseOAuthAuthorizationServer(OAuthServerOptions);
            app.UseOAuthBearerAuthentication(new OAuthBearerAuthenticationOptions());
        }
    }
    public class SimpleAuthorizationServerProvider : OAuthAuthorizationServerProvider
    {
        public override async Task ValidateClientAuthentication(OAuthValidateClientAuthenticationContext context)
        {
            context.Validated();
        }
        public override async Task GrantResourceOwnerCredentials(OAuthGrantResourceOwnerCredentialsContext context)
        {
            context.OwinContext.Response.Headers.Add("Access-Control-Allow-Origin", new[] { "*" });
            if (context.Request.Method != "POST")
            {
                context.SetError("invalid_request", "Invalid request");
                return;
            }
            using (AuthRepository _repo = new AuthRepository())
            {
                IdentityUser user = await _repo.FindUser(context.UserName, context.Password);
                if (user == null)
                {
                    context.SetError("invalid_grant", "The user name or password is incorrect.");
                    return;
                }
            }
            var identity = new ClaimsIdentity(context.Options.AuthenticationType);
            identity.AddClaim(new Claim("sub", context.UserName));
            identity.AddClaim(new Claim("role", "user"));
            context.Validated(identity);
        }
    }