漫談認證與授權

来源:https://www.cnblogs.com/weihanli/archive/2019/12/03/talk-on-authentication-and-authorization.html

認證與授權一直以來都是很多人在討論的話題,之所以想這次談一談認證和授權,主要是因為最近看到許多文章都把認證和授權混為一談,把認證方式當作是授權方式。所以想寫篇文章談談我眼中的認證與授權 ...


漫談認證與授權

Intro

認證與授權一直以來都是很多人在討論的話題,之所以想這次談一談認證和授權,主要是因為最近看到許多文章都把認證和授權混為一談,把認證方式當作是授權方式。所以想寫篇文章談談我眼中的認證與授權

Authentication

什麼是認證?認證是一個嘗試解決我是誰的問題的過程。

以一個 HTTP 請求為例,認證就是 嘗試 從請求信息中獲取用戶信息的過程,

有一點需要特別註意:認證並不等於一定有用戶信息,有些文章直接把認證等同於有用戶信息,再次強調,認證就是認證,一定有用戶信息就相當於是要授權了,有用戶信息只能說明某種認證方式認證成功了,經過某種反射光hi認證之後,還是沒有用戶信息,只能說明這種認證方式認證失敗,認證失敗並不代表授權失敗

認證的方式可以多種多樣,而且我們可以同時使用多種認證方式:比如說 Cookie 認證、JWT 認證 以及其他自定義 Token 認證,之所以稱之為認證方式,是因為他們只提供解決我是誰的解決方案,比如 Cookie 認證會嘗試從 HTTP 請求攜帶的 Cookie 信息中獲取用戶信息,而 JWT 則是從 Authorization 請求頭中的 Bearer Token 獲取用戶的信息,自定義的Token 也類似。

甚至我們可以做一些擴展,做一些不一樣的認證,比如說根據 Header/QueryString Authentication,我在我們的項目里就是這麼做的,網關解析出用戶信息之後轉發給下游服務的請求會把用戶信息放在請求頭裡,我們自定義了一個 HeaderAuthentication 從請求頭中獲取用戶的信息,我們下游服務就可以用 HeaderAuthentication 替換原來使用的 JWT 認證,這樣 JWT 只需要在網關處認證一次即可,下游服務不再需要驗證 token 的有效性以及解析這個 token。

之前提供了一個開源版本的 Header/QueryString Authentication 的實現,實現源碼:https://github.com/WeihanLi/AspNetCorePlayground/tree/master/WeihanLi.AspNetCore.Authentication

Authorization

什麼是授權?授權顧名思義就是授予許可權,允許查看或進行某種操作。

授權是嘗試對用戶授予訪問或操作許可權的過程

如果一個資源是允許匿名訪問的,那麼無論認證成功與否,無論有沒有用戶信息,都是可以授權訪問的

如果一個資源是需要用戶有某個角色(Manager)才能訪問的,那麼首先我們應該先通過認證獲取用戶的信息,再判斷用戶是否有這個角色,如果有這個角色則允許授權,否則都不應授權訪問。

  • 如果認證失敗就沒有用戶信息,沒有用戶信息,自然不可能具備 Manager 的角色,這時候就不應該授權訪問,如果用戶沒有認證成功,則需要用戶提供有效的認證信息(用戶可能沒有提供認證信息,也有可能是 token 過期等認證信息無效的錯誤),這時一般 Web 框架會返回 401 Unauthorized

  • 如果用戶認證成功了,但是沒有相應的角色 Manager,這種情況 Web 框架一般會返回 403 Forbidden
  • 如果用戶認證成功了,並且擁有 Manager 的角色,則說明用戶是有許可權訪問資源的,這時應該授權用戶訪問。

一點嘮叨:

允許匿名訪問、需要用戶登錄才能訪問、需要某種角色才能訪問等這些都屬於授權,不屬於認證,就像允許匿名訪問,沒有用戶信息也可以訪問,但是並不影響認證的過程,用戶認證成功還是有用戶信息的。

Summary

認證是一個嘗試解決我是誰的問題的過程。

授權是嘗試對用戶授予訪問或操作許可權的過程

More

最後安利一下,自己做的一個關於授權的項目 AccessControlHelper

AccessControlHelper 是一個基於策略的授權解決方案,最早是基於 asp.net mvc 做的,實現了可以控制對 Action 的訪問和頁面上某個元素的訪問(Conditional Server Render),後來.netcore2.0 發佈之後也支持了 .netcore,.netcore 下的支持更多一點,支持 .net core 下的 TagHelperPolicy,現在的實現還有不太好,感興趣的可以上去看看,歡迎 issue/pr ...

Github: https://github.com/WeihanLi/AccessControlHelper

Reference


您的分享是我們最大的動力!

更多相關文章
  • 本篇文章涉及到使用ILDasm和ILasm進行反編譯和編譯。 ...
  • 國內優秀的WPF開源控制項庫,Panuon.UI的優化版本。一個漂亮的、使用樣式與附加屬性的WPF UI控制項庫,值得向大家推薦使用與學習。 今天站長(Dotnet9,站長網址:https://dotnet9.com)推薦另一款開源的WPF控制項庫(PanuonUI.Silver,github鏈接: ht ...
  • Github 原生 CI/CD,初嘗 Github Actions ...
  • 在上篇中我們通過創建一個類並繼承autoMapper的Profile類 public class Mappings : Profile { public Mappings() { CreateMap<UserDto, TbUser>(); } } 這樣做有一種弊端,就是當傳輸對象很多的時候,還需要手 ...
  • 一、什麼是AutoMapper? AutoMapper是一個簡單的對象映射框架(OOM),將一個對象映射到另一個對象。 二、AutoMapper的好處 以前的時候我們將DTO對象轉換為Model對象時,我們必須將每一個屬性都手動映射 實體類 /// <summary> /// 用戶表 /// </s ...
  • Autofac自動註入是通過名稱約定來實現依賴註入 ps:本demo介面層都以“I”開頭,以“Service”結尾。服務層實現都以“Service”結尾。 為什麼要實現自動註入 大多時候,我們都是 以下方式進行依賴註入 public IServiceProvider ConfigureService ...
  • 在空項目中是沒有配置文件的,首先要新建一個,配置文件內容如下,下麵來讀取各個內容 { "ConnectionStrings": { "DefaultConnection": "Server=(localdb)\\MSSQLLocalDB;Database=_CHANGE_ME;Trusted_Con ...
  • .Net Core組件化視圖(部分視圖) 1.背景 1.以前我們使用.Net的時候使用部分視圖的方式在,.Net Core 中已經沒有了但是我們還是想使用現在的.Net Core換了一種方式,將視圖組件化了。 2.視圖組件介紹 1.可以將我們的視圖重覆的部分分離出來,達到可復用。 2.可以編寫業務邏 ...
一周排行
  • 在園子裡面有很多關於各種技術細節的研究文章,都是比較牛逼的框架研究;但是一直沒有看到關於怎麼樣提高開發效率的文章,大多提高開發效率的文章都是關於自動化等方面的輔助工具類型的,而不是開發中的一些小技巧;今天從編碼規範、編碼技巧、開發思想、設計模式等各方面的經驗來分享如何提高開發效率。 ...
  • 前言 隨著近些年微服務的流行,有越來越多的開發者和團隊所採納和使用,它的確提供了很多的優勢也解決了很多的問題,但是我們也知道也並不是銀彈,提供優勢的同時它也給我們的開發人員和團隊也帶來了很多的挑戰。 為了迎接或者採用這些新技術,開發團隊需要更加註重一些流程或工具的使用,這樣才能更好的適應這些新技術所 ...
  • 本文是本系列的完結篇。本系列前面的文章: 邏輯式編程語言極簡實現(使用C#) - 1. 邏輯式編程語言介紹 邏輯式編程語言極簡實現(使用C#) - 2. 一道邏輯題:誰是凶手 邏輯式編程語言極簡實現(使用C#) - 3. 運行原理 下午,吃飽飯的老明和小皮,各拿著一杯剛買的咖啡回到會議室,開始了邏輯 ...
  • 微服務之間的通信之gRPC 介紹 gRPC是一種與語言無關的高性能遠程過程調用 (RPC) 框架,gRPC是Google發佈的基於HTTP 2.0傳輸層協議承載的高性能開源軟體框架,提供了支持多種編程語言的、對網路設備進行配置和納管的方法。由於是開源框架,通信的雙方可以進行二次開發,所以客戶端和服務 ...
  • 一、TLS 線程本地存儲(Thread Local Storage),字面意思就是專屬某個線程的存儲空間。變數大體上分為全局變數和局部變數,一個進程中的所有線程共用地址空間,這個地址空間被劃分為幾個固有的區域,比如堆棧區,全局變數區等,全局變數存儲在全局變數區,虛擬地址固定;局部變數存儲在堆棧區,虛... ...
  • private:私有成員,在類的內部才可以訪問。 protected:保護成員,該類內部和繼承類中可以訪問。 public:公共成員,完全公開,沒有訪問限制。 internal:當前程式集內可以訪問。 ...
  • 前言 上一篇【.Net Core微服務入門全紀錄(六)——EventBus-事件匯流排】中使用CAP完成了一個簡單的Eventbus,實現了服務之間的解耦和非同步調用,並且做到數據的最終一致性。這一篇將使用IdentityServer4來搭建一個鑒權中心,來完成授權認證相關的功能。 IdentitySe ...
  • using System; using System.Collections.Generic; using System.ComponentModel; using System.Data; using System.Drawing; using System.Linq; using System. ...
  • 從今天起,我將製作一個電影推薦項目,在此寫下博客,記錄每天的成果。 其實,從我發佈 C# 爬取貓眼電影數據 這篇博客後, 我就已經開始製作電影推薦項目了,今天寫下這篇博客,也是因為項目進度已經完成50%了,我就想在這一階段停一下,回顧之前學到的知識。 一、主要為手機端 考慮到項目要有實用性,我選擇了 ...
  • 一、實現Runnable介面 public class RunnableDemo implements Runnable { public void run() { try { Thread.sleep(100); } catch (InterruptedException e) { e.print ...