Як зробити автентифікацію CORS у WebAPI 2?

Question 1

Сценарій простий, мені потрібно увійти з іншого сервера (відмінного від сервера API), щоб отримати маркер доступу.

Я встановив Microsoft.Owin.Corsпакет на сервері API. У Startup.Auth.csфайлі під public void ConfigureAuth(IAppBuilder app)я додав

app.UseCors(Microsoft.Owin.Cors.CorsOptions.AllowAll);

У WebApiConfig.cs, під public static void Register(HttpConfiguration config), я додав у ці рядки:

// Cors
var cors = new EnableCorsAttribute("*", "*", "GET, POST, OPTIONS");
config.EnableCors(cors);

Що ще мені змінити?

Question 2

Подивіться, що я знайшов!

Додайте всередині спеціальні заголовки <system.webServer>.

<httpProtocol>
  <customHeaders>
    <add name="Access-Control-Allow-Origin" value="*" />
    <add name="Access-Control-Allow-Methods" value="GET, POST, OPTIONS, PUT, DELETE" />
  </customHeaders>
</httpProtocol>

Тоді я можу виконати автентифікацію CORS.

Question 3

У мене було багато спроб і помилок, щоб встановити його для веб-клієнта на базі AngularJS.
Для мене наведені нижче підходи працюють із ASP.NET WebApi 2.2 та службою на основі OAuth.

Встановіть Microsoft.AspNet.WebApi.Corsnuget-пакет.
Встановіть Microsoft.Owin.Corsnuget-пакет.
Додайте config.EnableCors(new EnableCorsAttribute("*", "*", "GET, POST, OPTIONS, PUT, DELETE"));до верхньогоWebApiConfig.Register(config); рядка у файлі Startup.cs .
Додайте app.UseCors(Microsoft.Owin.Cors.CorsOptions.AllowAll);до файлу Startup.Auth.cs . Це потрібно зробити перед дзвінкомIAppBuilder.UseWebApi
Видаліть усі налаштування xml, що робив Blaise.

Я знайшов багато варіантів і комбінацій налаштувань тут, у статті про stackoverflow або в блозі . Отже, підхід Блеза може бути неправильним, а може і не бути. Це просто інші налаштування, я думаю.

Question 4

Після багатьох годин пошуку та розгляду багатьох різноманітних рішень цього мені вдалося змусити це працювати згідно з наведеним нижче.

Існує низка причин, чому це відбувається. Швидше за все, ви ввімкнули CORS не в тому місці, або він увімкнений двічі, або взагалі не використовується.

Якщо ви використовуєте веб-API та кінцеву точку Owin Token, вам потрібно видалити всі посилання на CORS у вашому методі веб-API та додати правильний метод Owin, оскільки веб-додатки не працюватимуть із кінцевою точкою Token, тоді як Owin-корди працюватимуть як для Web Кінцеві точки API та Token auth, тому давайте почнемо:

Переконайтеся, що у вас встановлений пакет Owin Cors Видаліть будь-який рядок, який у вас є, наприклад .config.EnableCors (); з вашого файлу WebAPIconfig.cs
Перейдіть до файлу startup.cs і переконайтеся, що ви виконали Owin Cors перед запуском будь-якої іншої конфігурації.

app.UseCors (Microsoft.Owin.Cors.CorsOptions.AllowAll); ConfigureAuth (додаток);
Якщо у вас все ще виникають проблеми, перейдіть до: Startup.Auth.cs і переконайтеся, що у вашому методі ConfigureAuth є таке (вам не потрібно це робити, якщо файл startup.cs правильний)

app.UseCors(Microsoft.Owin.Cors.CorsOptions.AllowAll);

Question 5

web.config

<appSettings>
  <add key="cors:Origins" value="*" />
  <add key="cors:Headers" value="*" />
  <add key="cors:Methods" value="GET, POST, OPTIONS, PUT, DELETE" />
</appSettings>

Startup.cs

var appSettings = WebConfigurationManager.AppSettings;

// If CORS settings are present in Web.config
if (!string.IsNullOrWhiteSpace(appSettings["cors:Origins"]))
{
    // Load CORS settings from Web.config
    var corsPolicy = new EnableCorsAttribute(
        appSettings["cors:Origins"],
        appSettings["cors:Headers"],
        appSettings["cors:Methods"]);

    // Enable CORS for ASP.NET Identity
    app.UseCors(new CorsOptions
    {
        PolicyProvider = new CorsPolicyProvider
        {
            PolicyResolver = request =>
                request.Path.Value == "/token" ?
                corsPolicy.GetCorsPolicyAsync(null, CancellationToken.None) :
                Task.FromResult<CorsPolicy>(null)
        }
    });

    // Enable CORS for Web API
    config.EnableCors(corsPolicy);
}

Примітка : app.UserCors(...)слід викликати перед налаштуванням ідентифікації ASP.NET.

Джерело: ASP.NET Web Application Starter Kit (ASP.NET Web API, Identity, SignalR)

Question 6

Щоб детальніше відповісти на відповідь Янджа, існує чудовий підручник з налаштування OWIN за допомогою веб-API та включення CORS у процесі за адресою http://bitoftech.net/2014/06/01/token-based-authentication-asp-net-web- api-2-owin-asp-net-identity /

Ви захочете додати пакет NuGet для CORS за допомогою команди:
Install-Package Microsoft.Owin.Cors -Version 2.1.0

Потім додайте
app.UseCors(Microsoft.Owin.Cors.CorsOptions.AllowAll);

до вашого методу конфігурації в Startup.cs, щоб він виглядав приблизно так:

public void Configuration(IAppBuilder app)
{
    HttpConfiguration config = new HttpConfiguration();
    ConfigureOAuth(app);
    WebApiConfig.Register(config);
    app.UseCors(Microsoft.Owin.Cors.CorsOptions.AllowAll);
    app.UseWebApi(config);
}

Question 7

Відповідь для мене знайдено за адресою

Запит CORS перед вильотом Web Api 2 на токен на пред'явника

Зокрема, запит / Token із використанням реалізації OAuthAuthorizationServerProvider.GrantResourceOwnerCredentials знову додавав заголовок. Додайте матеріали OWIN CORS перед будь-якою іншою конфігурацією OWIN і видаліть заголовок із GrantResourceOwnerCredentials відповідно до цього посилання та voila. Удачі.

Question 8

Я просто хочу поділитися своїм досвідом. Я витратив половину дня, стукаючи головою і намагаючись змусити це працювати. Я прочитав численні статті та SO-запитання, і врешті-решт зрозумів, що сталося.

Лінія

app.UseCors(Microsoft.Owin.Cors.CorsOptions.AllowAll);

не був першим у Startupкласі Configurationметодом. Коли я перемістив його на вершину - все почало працювати чарівно.

І ніякі призначені для користувача заголовки в web.configабо config.EnableCors(corsPolicy);або що - або ще не було необхідності.

Сподіваюся, це допоможе комусь заощадити трохи часу.

Question 9

Тут ви знайдете кілька способів увімкнення CORS у різних сферах: http://www.asp.net/web-api/overview/security/enabling-cross-origin-requests-in-web-api

У будь-якому випадку у мене була та сама проблема, і, додаючи заголовки різними способами, я не отримав повного рішення.

Я з’ясував, що IIS використовує обробники, які замінюють конфігурацію веб-програми CORS, якщо ви не вказали протилежне.

У моєму випадку мені також довелося видалити використання обробників IIS, додавши таку конфігурацію в основну Web.config моєї програми:

<system.webServer>
    <handlers>
      <remove name="ExtensionlessUrlHandler-Integrated-4.0" />
      <remove name="OPTIONSVerbHandler" />
      <remove name="TRACEVerbHandler" />
      <add name="ExtensionlessUrlHandler-Integrated-4.0" path="*." verb="*" type="System.Web.Handlers.TransferRequestHandler" preCondition="integratedMode,runtimeVersionv4.0" />
    </handlers>
</system.webServer>

Майте на увазі, що ця конфігурація може бути встановлена за замовчуванням під час створення нового проекту в залежності від його типу, але якщо ви починаєте з нуля, вам, ймовірно, доведеться додати цю конфігурацію.

Question 10

Додавання заголовків клієнтів може не дати вам стільки свободи в налаштуванні своїх потреб безпеки. Це відкриває для світу всю іншу частину API. Наступний код робить це лише для "токена", а контролер іншої частини api повинен виконуватися за допомогою анотації EableCors.

public void ConfigureAuth(IAppBuilder app)
{
    //other stuff
    app.Use(async (context, next) =>
    {
        IOwinRequest req = context.Request;
        IOwinResponse res = context.Response;
        if (req.Path.StartsWithSegments(new PathString("/Token")))
        {
            var origin = req.Headers.Get("Origin");
            if (!string.IsNullOrEmpty(origin))
            {
                res.Headers.Set("Access-Control-Allow-Origin", origin);
            }
            if (req.Method == "OPTIONS")
            {
                res.StatusCode = 200;
                res.Headers.AppendCommaSeparatedValues("Access-Control-    Allow-Methods", "GET", "POST");
                res.Headers.AppendCommaSeparatedValues("Access-Control-    Allow-Headers", "authorization", "content-type");
                return;
            }
        }
        await next();
    });
    //other stuff
}

Щоб увімкнути Cors, дотримуйтесь інструкцій тут .

Question 11

При використанні проміжного програмного забезпечення OWIN для обробки CORS нам не потрібно додавати заголовки у файл WebAPIConfig або файл web.config. Так, додавання заголовків у файл web.config спрацьовує, коли вам потрібен загальнодоступний доступ, але якщо вам потрібно обмежити доступ на основі білого списку (доменів), то дозволити весь доступ більше не те, що ви хотіли б зробити.

За допомогою OWINS ми можемо впоратися з цим, реалізувавши цей обробник:

OAuthAuthorizationServerProvider.MatchEndpoint

За допомогою цього обробника ми можемо виявити метод запиту (OPTIONS, POST ...) і якщо запит слід розглядати як кінцеву точку авторизації або маркера. У цій області можна додати логіку для перевірки заголовка (запиту) Origin та перевірки, чи слід дозволити цей домен, додавши заголовок відповіді Access-Control-Allow-Origin.

string origin = context.Request.Headers.Get("Origin");
var found = IsDomainAllowed(origin);
 if (found){
      context.Response.Headers.Add("Access-Control-Allow-Origin",
                             new string[] { origin });
 }

Докладніше про це дивіться за цим посиланням: http://www.ozkary.com/2016/04/web-api-owin-cors-handling-no-access.html

Question 12

Повне рішення. Вам просто потрібно змінити деякі файли, це працює для мене.

Global.ascx

public class WebApiApplication : System.Web.HttpApplication {
    protected void Application_Start()
    {
        WebApiConfig.Register(GlobalConfiguration.Configuration);
    } }

WebApiConfig.cs

Весь запит має виклик цього коду.

public static class WebApiConfig {
    public static void Register(HttpConfiguration config)
    {
        EnableCrossSiteRequests(config);
        AddRoutes(config);
    }

    private static void AddRoutes(HttpConfiguration config)
    {
        config.Routes.MapHttpRoute(
            name: "Default",
            routeTemplate: "api/{controller}/"
        );
    }

    private static void EnableCrossSiteRequests(HttpConfiguration config)
    {
        var cors = new EnableCorsAttribute(
            origins: "*", 
            headers: "*", 
            methods: "*");
        config.EnableCors(cors);
    } }

Якийсь контролер

Нічого змінити.

Web.config

Вам потрібно додати обробники у вас web.config

<configuration> 
  <system.webServer>
    <handlers>
      <remove name="ExtensionlessUrlHandler-Integrated-4.0" />
      <remove name="OPTIONSVerbHandler" />
      <remove name="TRACEVerbHandler" />
      <add name="ExtensionlessUrlHandler-Integrated-4.0" path="*." verb="*" type="System.Web.Handlers.TransferRequestHandler" preCondition="integratedMode,runtimeVersionv4.0" />
    </handlers>   
  </system.webServer> 
</configuration>