ASP.net Web API 2 controller con filtri di autenticazione multipli

Question

Qual è la semantica prevista per più filtri di autenticazione? È permesso? e se sì, come lavorano insieme?

Ecco un esempio specifico. Supponiamo di avere una classe controller come

[BasicAuthenticator] 
[LocalAuthenticator] 
[Authorize] 
public class TestController : ApiController 
{ 
    [AllowAnonymous] 
    public IHttpActionResult GetProduct(int id) 
    { 
    } 

    // etc. etc 
} 

in cui BasicAuthenticator e LocalAuthenticator attuare IAuthenticationFilter.

Ogni autenticatore avrà la possibilità di avere successo. Se uno dei due riesce, imposta context.Principal su un nuovo oggetto con ClaimsIdentity appropriato (nome, tipo e isAuthenticated = true).

Cosa succede se un autenticatore fallisce? Penso che non dovrebbe fare nulla, così che l'altro avrà la possibilità di avere successo. Destra?

E se entrambi hanno successo? Qualunque cosa vada in secondo luogo cancella il Preside creato dal primo? Non avrebbe più senso unire le collezioni ClaimsIdentity dei due oggetti principali insieme?

Se un autenticatore fallisce, non dovrebbe fare nulla, corretto? Perché l'altro autenticatore potrebbe avere successo. La semantica di avere due autenticatori è che l'azione verrà eseguita se uno dei due riesce, corretto?

Penso che la classe Authorize guarderà tutte le ClaimsIdentity nel principal, e se ClaimsIdentity ha "isAuthenticated = true" allora consentirà l'esecuzione del controller. Altrimenti, imposterà lo stato = 401. Questo sembra essere il modo in cui funziona. È corretto?

Lo scopo di [AllowAnonymous] è disattivare tutti gli altri filtri di autorizzazione, correggere? Il controller (o il metodo di azione) è decorato con [AllowAnonymous] quindi presumo che debba sempre essere eseguito, anche se l'autenticazione fallisce. È corretto?

Answer 1

L'ultimo filtro di autenticazione da eseguire correttamente blocca semplicemente il preside. Quando osservi l'oggetto principale e le raccolte Claims ridicolmente complesse ad esso associate, penserai che tutta questa complessità è sicuramente destinata a supportare più autenticazioni di successo! Ma ti sbaglieresti. Solo uno può avere successo. Non c'è motivo per la complessità, se non quella di assecondare la vanità di qualche architetto in Microsoft.

Answer 2

Con la recente filtro di autenticazione introdotta in Web API 2, immagino uno si suppone di introdurre uno attributo per l'autenticazione, e forse attributo uno per l'autorizzazione, come squadra MS diviso queste due preoccupazioni. Quindi la semantica è di avere uno per l'autenticazione.

Mi sembra che il fatto è possibile aggiungere più di un attributo di autenticazione è solo un coincidenza, perché si capita per impostare filtri sui controllori e le loro azioni per mezzo di attributi, e come è possibile aggiungere più di un attributo ... Lo stesso vale per l'impostazione del filtro di autenticazione a livello di progetto, su tutte le azioni di tutti i controllori: poiché si può aggiungere più di un filtro, non implica necessariamente che uno debba aggiungere più di un filtro di autenticazione allo.

Se è necessario supportare più di un meccanismo di autenticazione (ad es.a Basic e Local), si potrebbe semplicemente avere un singolo attributo/filtro che intercetta la richiesta e che proverà entrambi i meccanismi, implementando qualsiasi logica AND/OR che potrebbe essere necessaria.