使用net4.5版本开发的webapi的安全认证问题

[lenhanxao]

现在一个webapi项目是用的net4.5版本上开发的,现在就是需要对API做一些认证操作,只让特定的访问,所以百度教程都是装owin来做oauth,但是我安装 Microsoft.Owin.Host.SystemWeb报错,提示"您正在尝试将此程序包安装到某个将“.NETFramework,Version=v4.5”作为目标的项目中，但此程序包不包含与该框架兼容的任何程序集引用或内容文件"。 难道我的项目是4.5版本开发的,就不能用了吗?或者用其他方式来实现oauth来控制访问权限,请大佬越详细越好,或者发个教程的链接也行,谢谢...

[mirrorspace]

可以模仿微信accesstoken
使用账号密码登录后,拿到token,过期时间两小时.然后拿此token请求API

[stevenjin]

https://download.csdn.net/download/stevenjin/9892492
用表单验证，接口用BASIC授权

[游北亮]

oauth一般用于第三方授权登录居多，
你如果只是简单的需要在某些接口上做登录验证，可以在项目里定义一个类，继承自ActionFilterAttribute，例如：

public class AuthFilter : ActionFilterAttribute
{
    public override void OnActionExecuting(HttpActionContext actionContext)
    {
        // 所有维护用api请求都要求验证登录
        if (!IsLogined())
        {
            var username = HttpContext.Current.Request.QueryString["name"];
            var password = HttpContext.Current.Request.QueryString["pwd"];
            //if (actionContext.ActionArguments != null)
            //{
            //    actionContext.ActionArguments.TryGetValue("user", out username);
            //    actionContext.ActionArguments.TryGetValue("pwd", out password);
            //}
            if (!DoLogin(username, password))
            {
                actionContext.Response = actionContext.Request.CreateResponse(HttpStatusCode.OK, ApiResult.CreateError("未登录"));
                return;
            }
        }
        base.OnActionExecuting(actionContext);
    }

    private bool DoLogin(string userName = "", string md5Pwd = "")
    {
        // 登录验证
    }
    private bool IsLogined()
    {
        // 通过cookie或Session判断是否登录
    }
}

OK，有了上面这个类后，在你的那些需要登录校验的Controller上添加这个特性就ok了，例如：

[AuthFilter]  // 这个Controller下的所有Action都要进行登录
public sealed class ConfigsController : ApiController
{
}

也可以像下面这样灵活控制哪些要登录：

// 这个Controller下有的要登录，有的不要登录
public sealed class ConfigsController : ApiController
{
    // 这个方法不用登录
    public string Aaa(){
    }
    // 这个方法要登录
    [AuthFilter]  
    public string Aaa(){
    }
}

[lenhanxao]

谢谢@水边2 的回答,只是这样的话就会被抓包,别人拿到帐号密码,不就可以像正常用户一样恶意使用了吗?我是了解的oauth返回的token是有一个时间效期,时间戳,随机串等防止这种情况..

[娃都会打酱油了]

你这种应该要jwt吧

[游北亮]

引用 2 楼 lenhanxao 的回复:

谢谢@水边2 的回答,只是这样的话就会被抓包,别人拿到帐号密码,不就可以像正常用户一样恶意使用了吗?我是了解的oauth返回的token是有一个时间效期,时间戳,随机串等防止这种情况..

抓包？你没看到我定义的参数名叫 md5Pwd，也就是客户端要对输入的密码进行 加盐，再转md5后，提交给服务端。
另外，现在的互联网基本上都是https协议，被网络嗅探抓包的概率已经降低了很多了。

再说破解问题，无论你用哪种方案，都无法避免别人抓包研究你的协议，用我的方法，一样可以实现请求添加时间戳，服务端认证增加有效时间机制

[stherix]

Microsoft.Owin有支持.net45的版本
nuget直接拉

[lenhanxao]

引用 6 楼 stherix 的回复:

Microsoft.Owin有支持.net45的版本
nuget直接拉

我就是没有找到...

[qq_38660532]

可以模仿微信accesstoken
使用账号密码登录后,拿到token,过期时间两小时.然后拿此token请求API

[fengchao1000]

引用 2 楼 lenhanxao 的回复:

谢谢@水边2 的回答,只是这样的话就会被抓包,别人拿到帐号密码,不就可以像正常用户一样恶意使用了吗?我是了解的oauth返回的token是有一个时间效期,时间戳,随机串等防止这种情况..

如果想用OAuth 2.0的话可以用开源框架，Identityserver 4 , OAuth 2.0/OIDC/单点登录 都可以解决

https://www.cnblogs.com/stulzq/category/1060023.html