跨多個服務使用Oauth門票？

Question

我目前有一對基於OWIN的服務，每個服務都對同一組用戶使用OAuth身份驗證。我打算隔離授權服務器（即令牌端點）並以某種方式配置我的兩個服務以接受此令牌。我認爲這將涉及我的所有服務的一些配置，以允許在所有相關服務中解密此令牌。這可能嗎？

Answer 1

Katana OAuth2授權服務器中間件並非真正爲此場景設計（主要是因爲它依賴機器密鑰進行令牌驗證）。

如果您希望集中生成令牌，那麼您應該查看專爲此設計的OAuth2授權服務器。 Thinktecture AuthorizationServer是一個開源的服務器，它可以做到這一點：http://thinktecture.github.io/Thinktecture.AuthorizationServer/

Answer 2

在與原帖的評論中與Brock Allen交談之後，我不能保證這是一個好的/安全的解決方案，但這是我結束的代碼使用。 （注：此代碼的版本可以a nuget package）。

我創建了一個使用AES一個IDataProtector實現：

internal class AesDataProtectorProvider : IDataProtector 
{ 
    // Fields 
    private byte[] key; 

    // Constructors 
    public AesDataProtectorProvider(string key) 
    { 
     using (var sha1 = new SHA256Managed()) 
     { 
      this.key = sha1.ComputeHash(Encoding.UTF8.GetBytes(key)); 
     } 
    } 

    // IDataProtector Methods 
    public byte[] Protect(byte[] data) 
    { 
     byte[] dataHash; 
     using (var sha = new SHA256Managed()) 
     { 
      dataHash = sha.ComputeHash(data); 
     } 

     using (AesManaged aesAlg = new AesManaged()) 
     { 
      aesAlg.Key = this.key; 
      aesAlg.GenerateIV(); 

      using (var encryptor = aesAlg.CreateEncryptor(aesAlg.Key, aesAlg.IV)) 
      using (var msEncrypt = new MemoryStream()) 
      { 
       msEncrypt.Write(aesAlg.IV, 0, 16); 

       using (var csEncrypt = new CryptoStream(msEncrypt, encryptor, CryptoStreamMode.Write)) 
       using (var bwEncrypt = new BinaryWriter(csEncrypt)) 
       { 
        bwEncrypt.Write(dataHash); 
        bwEncrypt.Write(data.Length); 
        bwEncrypt.Write(data); 
       } 
       var protectedData = msEncrypt.ToArray(); 
       return protectedData; 
      } 
     } 
    } 

    public byte[] Unprotect(byte[] protectedData) 
    { 
     using (AesManaged aesAlg = new AesManaged()) 
     { 
      aesAlg.Key = this.key; 

      using (var msDecrypt = new MemoryStream(protectedData)) 
      { 
       byte[] iv = new byte[16]; 
       msDecrypt.Read(iv, 0, 16); 

       aesAlg.IV = iv; 

       using (var decryptor = aesAlg.CreateDecryptor(aesAlg.Key, aesAlg.IV)) 
       using (var csDecrypt = new CryptoStream(msDecrypt, decryptor, CryptoStreamMode.Read)) 
       using (var brDecrypt = new BinaryReader(csDecrypt)) 
       { 
        var signature = brDecrypt.ReadBytes(32); 
        var len = brDecrypt.ReadInt32(); 
        var data = brDecrypt.ReadBytes(len); 

        byte[] dataHash; 
        using (var sha = new SHA256Managed()) 
        { 
         dataHash = sha.ComputeHash(data); 
        } 

        if (!dataHash.SequenceEqual(signature)) 
         throw new SecurityException("Signature does not match the computed hash"); 

        return data; 
       } 
      } 
     } 
    } 
} 

，然後在ISecureDataFormat實現像這樣用的：

public class SecureTokenFormatter : ISecureDataFormat<AuthenticationTicket> 
{ 
    // Fields 
    private TicketSerializer serializer; 
    private IDataProtector protector; 
    private ITextEncoder encoder; 

    // Constructors 
    public SecureTokenFormatter(string key) 
    { 
     this.serializer = new TicketSerializer(); 
     this.protector = new AesDataProtectorProvider(key); 
     this.encoder = TextEncodings.Base64Url; 
    } 

    // ISecureDataFormat<AuthenticationTicket> Members 
    public string Protect(AuthenticationTicket ticket) 
    { 
     var ticketData = this.serializer.Serialize(ticket); 
     var protectedData = this.protector.Protect(ticketData); 
     var protectedString = this.encoder.Encode(protectedData); 
     return protectedString; 
    } 

    public AuthenticationTicket Unprotect(string text) 
    { 
     var protectedData = this.encoder.Decode(text); 
     var ticketData = this.protector.Unprotect(protectedData); 
     var ticket = this.serializer.Deserialize(ticketData); 
     return ticket; 
    } 
} 

構造函數上的'key'參數可以在多個服務上設置爲相同的值，並且它們都將能夠解密（'取消保護'）並使用票據。

Answer 3

我知道這是一個老問題，但我有一個類似的用例。根據文檔，OWIN OAuth使用機器密鑰來保護數據。由於您控制了所有實例，因此我認爲只需在Web配置中設置machinekey即可。

編號：http://msdn.microsoft.com/en-us/library/microsoft.owin.security.oauth.oauthauthorizationserveroptions(v=vs.113).aspx

Answer 4

你可以使用這個NuGet包https://www.nuget.org/packages/Owin.Security.AesDataProtectorProvider/

它包含IAppBuilder擴展方法，可以讓你建立自己的關鍵

appBuilder.UseAesDataProtectorProvider(key);