漫談認證與授權

来源:https://www.cnblogs.com/weihanli/archive/2019/12/03/talk-on-authentication-and-authorization.html

認證與授權一直以來都是很多人在討論的話題,之所以想這次談一談認證和授權,主要是因為最近看到許多文章都把認證和授權混為一談,把認證方式當作是授權方式。所以想寫篇文章談談我眼中的認證與授權 ...


漫談認證與授權

Intro

認證與授權一直以來都是很多人在討論的話題,之所以想這次談一談認證和授權,主要是因為最近看到許多文章都把認證和授權混為一談,把認證方式當作是授權方式。所以想寫篇文章談談我眼中的認證與授權

Authentication

什麼是認證?認證是一個嘗試解決我是誰的問題的過程。

以一個 HTTP 請求為例,認證就是 嘗試 從請求信息中獲取用戶信息的過程,

有一點需要特別註意:認證並不等於一定有用戶信息,有些文章直接把認證等同於有用戶信息,再次強調,認證就是認證,一定有用戶信息就相當於是要授權了,有用戶信息只能說明某種認證方式認證成功了,經過某種反射光hi認證之後,還是沒有用戶信息,只能說明這種認證方式認證失敗,認證失敗並不代表授權失敗

認證的方式可以多種多樣,而且我們可以同時使用多種認證方式:比如說 Cookie 認證、JWT 認證 以及其他自定義 Token 認證,之所以稱之為認證方式,是因為他們只提供解決我是誰的解決方案,比如 Cookie 認證會嘗試從 HTTP 請求攜帶的 Cookie 信息中獲取用戶信息,而 JWT 則是從 Authorization 請求頭中的 Bearer Token 獲取用戶的信息,自定義的Token 也類似。

甚至我們可以做一些擴展,做一些不一樣的認證,比如說根據 Header/QueryString Authentication,我在我們的項目里就是這麼做的,網關解析出用戶信息之後轉發給下游服務的請求會把用戶信息放在請求頭裡,我們自定義了一個 HeaderAuthentication 從請求頭中獲取用戶的信息,我們下游服務就可以用 HeaderAuthentication 替換原來使用的 JWT 認證,這樣 JWT 只需要在網關處認證一次即可,下游服務不再需要驗證 token 的有效性以及解析這個 token。

之前提供了一個開源版本的 Header/QueryString Authentication 的實現,實現源碼:https://github.com/WeihanLi/AspNetCorePlayground/tree/master/WeihanLi.AspNetCore.Authentication

Authorization

什麼是授權?授權顧名思義就是授予許可權,允許查看或進行某種操作。

授權是嘗試對用戶授予訪問或操作許可權的過程

如果一個資源是允許匿名訪問的,那麼無論認證成功與否,無論有沒有用戶信息,都是可以授權訪問的

如果一個資源是需要用戶有某個角色(Manager)才能訪問的,那麼首先我們應該先通過認證獲取用戶的信息,再判斷用戶是否有這個角色,如果有這個角色則允許授權,否則都不應授權訪問。

  • 如果認證失敗就沒有用戶信息,沒有用戶信息,自然不可能具備 Manager 的角色,這時候就不應該授權訪問,如果用戶沒有認證成功,則需要用戶提供有效的認證信息(用戶可能沒有提供認證信息,也有可能是 token 過期等認證信息無效的錯誤),這時一般 Web 框架會返回 401 Unauthorized

  • 如果用戶認證成功了,但是沒有相應的角色 Manager,這種情況 Web 框架一般會返回 403 Forbidden
  • 如果用戶認證成功了,並且擁有 Manager 的角色,則說明用戶是有許可權訪問資源的,這時應該授權用戶訪問。

一點嘮叨:

允許匿名訪問、需要用戶登錄才能訪問、需要某種角色才能訪問等這些都屬於授權,不屬於認證,就像允許匿名訪問,沒有用戶信息也可以訪問,但是並不影響認證的過程,用戶認證成功還是有用戶信息的。

Summary

認證是一個嘗試解決我是誰的問題的過程。

授權是嘗試對用戶授予訪問或操作許可權的過程

More

最後安利一下,自己做的一個關於授權的項目 AccessControlHelper

AccessControlHelper 是一個基於策略的授權解決方案,最早是基於 asp.net mvc 做的,實現了可以控制對 Action 的訪問和頁面上某個元素的訪問(Conditional Server Render),後來.netcore2.0 發佈之後也支持了 .netcore,.netcore 下的支持更多一點,支持 .net core 下的 TagHelperPolicy,現在的實現還有不太好,感興趣的可以上去看看,歡迎 issue/pr ...

Github: https://github.com/WeihanLi/AccessControlHelper

Reference


您的分享是我們最大的動力!

更多相關文章
  • 本篇文章涉及到使用ILDasm和ILasm進行反編譯和編譯。 ...
  • 國內優秀的WPF開源控制項庫,Panuon.UI的優化版本。一個漂亮的、使用樣式與附加屬性的WPF UI控制項庫,值得向大家推薦使用與學習。 今天站長(Dotnet9,站長網址:https://dotnet9.com)推薦另一款開源的WPF控制項庫(PanuonUI.Silver,github鏈接: ht ...
  • Github 原生 CI/CD,初嘗 Github Actions ...
  • 在上篇中我們通過創建一個類並繼承autoMapper的Profile類 public class Mappings : Profile { public Mappings() { CreateMap<UserDto, TbUser>(); } } 這樣做有一種弊端,就是當傳輸對象很多的時候,還需要手 ...
  • 一、什麼是AutoMapper? AutoMapper是一個簡單的對象映射框架(OOM),將一個對象映射到另一個對象。 二、AutoMapper的好處 以前的時候我們將DTO對象轉換為Model對象時,我們必須將每一個屬性都手動映射 實體類 /// <summary> /// 用戶表 /// </s ...
  • Autofac自動註入是通過名稱約定來實現依賴註入 ps:本demo介面層都以“I”開頭,以“Service”結尾。服務層實現都以“Service”結尾。 為什麼要實現自動註入 大多時候,我們都是 以下方式進行依賴註入 public IServiceProvider ConfigureService ...
  • 在空項目中是沒有配置文件的,首先要新建一個,配置文件內容如下,下麵來讀取各個內容 { "ConnectionStrings": { "DefaultConnection": "Server=(localdb)\\MSSQLLocalDB;Database=_CHANGE_ME;Trusted_Con ...
  • .Net Core組件化視圖(部分視圖) 1.背景 1.以前我們使用.Net的時候使用部分視圖的方式在,.Net Core 中已經沒有了但是我們還是想使用現在的.Net Core換了一種方式,將視圖組件化了。 2.視圖組件介紹 1.可以將我們的視圖重覆的部分分離出來,達到可復用。 2.可以編寫業務邏 ...
一周排行
x