Как разрешить доступ к ресурсам ServiceStack с помощью токенов доступа OAuth2 через DotNetOpenAuth?

Ответ 1

Обновление При дальнейшем размышлении ваша первоначальная мысль о создании атрибута RequiredScope была бы более чистым способом. Добавление его в конвейер ServiceStack так же просто, как добавление интерфейса IHasRequestFilter, реализация фильтра пользовательских запросов, как описано здесь: https://github.com/ServiceStack/ServiceStack/wiki/Filter-attributes

public class RequireScopeAttribute : Attribute, IHasRequestFilter {
  public void RequireScope(IHttpRequest req, IHttpResponse res, object requestDto)
  {
      //This code is executed before the service
      //Close the request if user lacks required scope
  }

  ...
}

Затем украсьте свой DTO или Services, как вы описали:

using ServiceStack.ServiceInterface;
using SpotAuth.Common.ServiceModel;

namespace SpotAuth.ResourceServer.Services {
    [RequireScope("hello")]
    public class HelloService : Service {
        public object Any(Hello request) {
            return new HelloResponse { Result = "Hello, " + request.Name };
        }
    }
}   

Пользовательский фильтр RequireScope будет почти идентичен реализации ServiceStack RequiredRoleAttribute., поэтому используйте его как отправную точку для кода.

В качестве альтернативы вы можете отобразить область действия для разрешения. Затем украсьте свой DTO или услугу соответствующим образом (см. Wiki для Windows):

[Authenticate]
[RequiredPermission("Hello")]
    public class HelloService : Service {
        public object Any(Hello request) {
            return new HelloResponse { Result = "Hello, " + request.Name };
        }
    }

Обычно ServiceStack вызывает метод bool HasPermission (разрешение строки) в IAuthSession. Этот метод проверяет, содержит ли разрешения списка List в IAuthSession требуемое разрешение, поэтому в пользовательской IAuthSession вы можете переопределить HasPermission и поместить туда области OAuth2.

Ответ 2

Хорошо, после многократного прохождения через различные библиотеки с помощью отладчика, я думаю, что вы делаете это так: https://github.com/dylanbeattie/OAuthStack

Есть две ключевые точки интеграции. Во-первых, атрибут настраиваемого фильтра, который используется на сервере для украшения конечных точек ресурсов, которые должны быть защищены с помощью авторизации OAuth2:

 /// <summary>Restrict this service to clients with a valid OAuth2 access 
/// token granting access to the specified scopes.</summary>
[AttributeUsage(AttributeTargets.Class | AttributeTargets.Method, Inherited = true)]
public class RequireOAuth2ScopeAttribute : RequestFilterAttribute {
    private readonly string[] oauth2Scopes;
    public RequireOAuth2ScopeAttribute(params string[] oauth2Scopes) {
        this.oauth2Scopes = oauth2Scopes;
    }

    public override void Execute(IHttpRequest request, IHttpResponse response, object requestDto) {
        try {
            var authServerKeys = AppHostBase.Instance.Container.ResolveNamed<ICryptoKeyPair>("authServer");
            var dataServerKeys = AppHostBase.Instance.Container.ResolveNamed<ICryptoKeyPair>("dataServer");
            var tokenAnalyzer = new StandardAccessTokenAnalyzer(authServerKeys.PublicSigningKey, dataServerKeys.PrivateEncryptionKey);
            var oauth2ResourceServer = new DotNetOpenAuth.OAuth2.ResourceServer(tokenAnalyzer);
            var wrappedRequest = new HttpRequestWrapper((HttpRequest)request.OriginalRequest);
            HttpContext.Current.User = oauth2ResourceServer.GetPrincipal(wrappedRequest, oauth2Scopes);
        } catch (ProtocolFaultResponseException x) {
            // see the GitHub project for detailed error-handling code
            throw;
        }
    }
}

Во-вторых, вот как вы подключаетесь к конвейеру HTTP-клиента ServiceStack и используете DotNetOpenAuth для добавления маркера OAuth2 Authorization: Bearer {key} к исходящему запросу:

// Create the ServiceStack API client and the request DTO
var apiClient = new JsonServiceClient("http://api.mysite.com/");
var apiRequestDto = new Shortlists { Name = "dylan" };

// Wire up the ServiceStack client filter so that DotNetOpenAuth can 
// add the authorization header before the request is sent
// to the API server
apiClient.LocalHttpWebRequestFilter = request => {
    // This is the magic line that makes all the client-side magic work :)
    ClientBase.AuthorizeRequest(request, accessTokenTextBox.Text);
}

// Send the API request and dump the response to our output TextBox
var helloResponseDto = apiClient.Get(apiRequestDto);

Console.WriteLine(helloResponseDto.Result);

Авторизованные запросы будут успешными; запросы с отсутствующим токеном, истекший токен или недостаточная область действия будут поднять WebServiceException

Это все еще очень много доказательств, но, похоже, работает очень хорошо. Я бы приветствовал обратную связь от тех, кто знает ServiceStack или DotNetOpenAuth лучше, чем я.