Welcome to YARP - 5.身份驗證和授權

目錄 Welcome to YARP - 1.認識YARP並搭建反向代理服務 Welcome to YARP - 2.配置功能 2.1 - 配置文件（Configuration Files） 2.2 - 配置提供者（Configuration Providers） 2.3 - 配置過濾器（Confi ...

介紹

說到認證和授權，相信還是有很多小伙伴把這兩個東西搞混掉，畢竟兩個單詞也是很相近，Authentication 和 Authorization。

身份驗證 （我是誰？）是知道用戶的標識。例如，Alice 使用她的用戶名和密碼登錄，伺服器使用該密碼對 Alice 進行身份驗證。

對於認證的結果會存儲在 HttpContext.User 中。常見的認證方式有：Cookie、JWT、Windows、等等，可參考 ASP.NET Core 身份驗證概述
授權（我有什麼許可權？）決定是否允許用戶執行操作。例如，Alice 有權獲取資源，但無權創建資源。

授權與身份驗證相互獨立。但是，授權需要一種身份驗證機制。常見的授權策略有：基於角色的 RBAC，基於策略的PBAC等等，可參考 ASP.NET Core 授權簡介

有了上述瞭解，接下來我們看 YARP 的 身份驗證 和授權

反向代理可用於在將請求代理到目標伺服器之前，對請求進行身份驗證和授權。這可以減少目標伺服器上的負載，增加一層保護，並確保在應用程式中實施一致的策略。接下來讓我們看下如何開啟認證和授權。

如果有對 .NET 本身的身份驗證和授權功能不瞭解的小伙伴，可以先去微軟文檔瞭解一下(身份驗證、授權)，再回來看可能會容易理解。因為 YARP 就是使用的 .NET 的認證和授權。提供策略，交給其中間件處理。

配置

可以通過 RouteConfig.AuthorizationPolicy 為每個路由指定授權策略，並且可以從配置文件的 Routes 各個部分進行綁定。與其他路由屬性一樣，可以在不重新啟動代理的情況下修改和重新載入此屬性。策略名稱不區分大小寫。

示例：

{
  "ReverseProxy": {
    "Routes": {
      "route1" : {
        "ClusterId": "cluster1",
        "AuthorizationPolicy": "customPolicy",
        "Match": {
          "Hosts": [ "localhost" ]
        },
      }
    },
    "Clusters": {
      "cluster1": {
        "Destinations": {
          "cluster1/destination1": {
            "Address": "https://localhost:10001/"
          }
        }
      }
    }
  }
}

授權策略使用的是 ASP.NET Core 的概念。代理提供上述配置來為每個路由指定一個策略，其餘部分由現有的 ASP.NET Core 身份驗證和授權組件處理。是不是和上一章的限流是一個套路，都是 .NET 本身的功能，開箱即用。

配置授權策略，如下所示：

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("customPolicy", policy => policy.RequireAuthenticatedUser());
});


app.UseRouting();
app.UseAuthentication();
app.UseAuthorization();

app.MapReverseProxy();

要瞭解如何設置首選的身份驗證類型，可以參閱身份驗證文檔

特殊值（內置策略）：

除了自定義策略名稱之外，還可以在路由的授權參數中指定兩個特殊值： default 和 anonymous 。這是兩個內置的策略名稱，用於簡化身份驗證和授權配置。

default 對應於用戶已經通過身份驗證的情況。如果用戶已經登錄，那麼他們將滿足 default 策略的要求。這通常用於需要用戶已登錄的資源或操作。在路由的授權參數中指定值 default 意味著路由將使用 AuthorizationOptions.DefaultPolicy 中定義的策略。該策略已預先配置為要求經過身份驗證的用戶。

示例用法：

app.MapGet("/default", () =>
{
    return "hello";
}).RequireAuthorization();// 將具有指定名稱的授權策略添加到終結點。空 代表使用 default 策略

上述的RequireAuthorization() 方法沒給參數預設就是用了 default 策略，已登錄的用戶才能通過驗證。而且還可以指定多個策略。他接收的是一個 params string[] policyNames 參數，你還可以添加其他策略。

YARP 中用法：

"Routes": {
      "DefaultAuthRoute": {
        "ClusterId": "cluster1",
        // 此路由使用內置的預設授權策略，該策略要求經過身份驗證的用戶
        "AuthorizationPolicy": "Default",
        "Match": {
          "Path": "/default"
        }
      }
}

anonymous 對應於未經身份驗證的用戶，即匿名用戶。如果用戶沒有登錄，他們將滿足 anonymous 策略的要求。這通常用於允許未經身份驗證的用戶訪問資源或操作。在路由的 authorization 參數中指定值 anonymous 意味著無論應用程式中的任何其他配置（如 FallbackPolicy）如何，路由都不需要授權。

示例用法：

app.MapGet("/public", () =>
{
	return "hello";
}).AllowAnonymous();

YARP 中用法：

"Routes": {
      "AnonymousRoute": {
        "ClusterId": "cluster1",
        // 此路由使用內置的預設授權策略，該策略要求經過身份驗證的用戶
        "AuthorizationPolicy": "Anonymous",
        "Match": {
          "Path": "/open/{*any}"
        }
      }
}

FallbackPolicy 回退策略

AuthorizationOptions.FallbackPolicy 用於處理未指定任何特定策略的路由。這是一個全局預設策略，如果路由沒有指定特定策略，就會使用這個策略。通常情況下，FallbackPolicy 會採用預設策略，要求用戶已通過身份驗證。

示例用法：

builder.Services.AddAuthorization(options =>
{
    options.FallbackPolicy = new AuthorizationPolicyBuilder()
        .RequireAuthenticatedUser() // 預設情況下，要求用戶已通過身份驗證. 可以提成你需要的驗證
        .Build();
});

YARP 中用法：

"Routes": {
      "Other": {
        // 由於以下路由未定義授權策略，因此使用回退策略
        "ClusterId": "cluster1",
        "Match": {
          "Path": "{**catchall}"
        }
      }
}

Flowing Credentials 流動憑證

即使在代理中授權了請求後，目標伺服器可能仍需要知道用戶是誰（身份驗證）以及允許他們執行的操作（授權）。如何傳遞該信息將取決於所使用的身份驗證類型。

這些身份驗證類型已經在請求頭中傳遞了它們的值，預設情況下這些值將流到目標伺服器。該伺服器仍然需要驗證和解釋這些值，這可能會造成一些雙重工作（代理也校驗，目標服務也校驗）

Windows, Negotiate, NTLM, Kerbereos

這些身份驗證類型通常綁定到特定連接。不支持將它們作為在 YARP 代理後面的目標伺服器中對用戶進行身份驗證的方法（參見 #166。它們可用於對代理的傳入請求進行身份驗證，但該身份信息必須以另一種形式傳達給目標伺服器。它們還可用於向目標伺服器驗證代理，但只能作為代理自己的用戶，不支持模擬客戶端（ YARP 無法代表客戶端進行目標伺服器的身份驗證）

Client Certificates 客戶端證書

客戶端證書是一項 TLS 功能，作為連接的一部分進行協商。有關其他信息，請參閱這些文檔。可以使用 ClientCert 轉換將證書作為 HTTP 標頭轉發到目標伺服器。

替換身份驗證類型

像 Windows 這樣不自然流到目標伺服器的身份驗證類型需要在代理中轉換為其他形式。例如，可以使用用戶信息創建 JWT 承載令牌，併在代理請求上進行設置。

可以使用自定義請求轉換來執行這些交換（看起來又要加一章請求轉換的篇章了）。如果你有足夠的興趣，可以針對特定場景開發詳細示例，反饋給 YARP 讓他們瞭解您希望如何轉換和流動身份信息的。

總結

本章我們介紹了 YARP 的認證和授權功能，概念比較多，此功能還是主要依賴於.NET 本身的認證和授權。如果有不了的可以先從微軟文檔學起，看起來相對會簡單一些。本章建議結合示例代碼一起看理解起來會比較方便，示例代碼已上傳GitHub
本章示例完整配置如下：

{
  "Logging": {
    "LogLevel": {
      "Default": "Information",
      "Microsoft.AspNetCore": "Warning"
    }
  },
  "AllowedHosts": "*",
  "ReverseProxy": {
    "Routes": {
      "DefaultAuthRoute": {
        "ClusterId": "cluster1",
        // 此路由使用內置的預設授權策略，該策略要求經過身份驗證的用戶
        "AuthorizationPolicy": "Default",
        "Match": {
          "Path": "/default"
        }
      },
      "ClaimsAuthRoute": {
        "ClusterId": "cluster1",
        // 自定義策略
        "AuthorizationPolicy": "myPolicy",
        "Match": {
          "Path": "/custom/{*any}"
        }
      },
      "AnonymousRoute": {
        "ClusterId": "cluster1",
        // 此路由使用內置的預設授權策略，該策略要求經過身份驗證的用戶
        "AuthorizationPolicy": "Anonymous",
        "Match": {
          "Path": "/open/{*any}"
        }
      },
      "Other": {
        // 由於以下路由未定義授權策略，因此使用回退策略
        // 程式中 設置為null，因此不需要身份驗證或聲明。
        "ClusterId": "cluster1",
        "Match": {
          "Path": "{**catchall}"
        }
      }
    },
    "Clusters": {
      "cluster1": {
        "Destinations": {
          "cluster1/destination1": {
            "Address": "https://www.baidu.com/"
          }
        }
      }
    }
  }
}

下篇文章我們繼續壓縮和緩存或者再補一篇 請求和響應轉換。

Welcome to YARP - 5.身份驗證和授權

目錄

介紹

配置

特殊值（內置策略）：

FallbackPolicy 回退策略

Flowing Credentials 流動憑證

Cookie, bearer, API keys

Windows, Negotiate, NTLM, Kerbereos

Client Certificates 客戶端證書

替換身份驗證類型

總結