Registro de inicios de sesión externos de Web API 2 desde múltiples clientes API con identidad OWIN

Actualización: las cosas han cambiado desde que escribí este post en enero: MSFT lanzó su middleware cliente OpenID connect oficial y trabajé duro con @manfredsteyer para adaptar el servidor de autorización OAuth2 construido en Katana para OpenID connect. Esta combinación resulta en una solución mucho más fácil y mucho más potente que no requiere ningún código de cliente personalizado y es 100% compatible con los clientes estándar OAuth2 / OpenID connect. Los diferentes pasos que mencioné en enero ahora pueden ser sustituido por unas pocas líneas:

Servidor:

app.UseOpenIdConnectServer(options =>
{
    options.TokenEndpointPath = new PathString("/connect/token");
    options.SigningCredentials.AddCertificate(certificate);

    options.Provider = new CustomOpenIdConnectServerProvider();
});

Cliente:

app.UseOpenIdConnectAuthentication(new OpenIdConnectAuthenticationOptions
{
    Authority = "http://localhost:55985/",

    ClientId = "myClient",
    ClientSecret = "secret_secret_secret",
    RedirectUri = "http://localhost:56854/oidc"
});

Puedes encontrar todos los detalles (y diferentes muestras) en el repositorio GitHub:

Https://github.com/aspnet-contrib/AspNet.Security.OpenIdConnect.Server

Https://github.com/aspnet-contrib/AspNet.Security.OpenIdConnect.Server/tree/dev/samples/Nancy

Josh, definitivamente estás en el camino correcto y tu autenticación delegada/federada la implementación parece bastante buena (imagino que ha utilizado el middleware OWIN predefinido de Microsoft.Owin.Security.Facebook/Google/Twitter).

Lo que necesita hacer es crear su propio servidor de autorización personalizado OAuth2. Tienes muchas opciones para lograrlo, pero la más fácil es probablemente conectar OAuthAuthorizationServerMiddleware en tu clase de inicio de OWIN. Lo encontrarás en el paquete Nuget Microsoft.Owin.Security.OAuth.

Mientras que la mejor práctica sería crear un proyecto separado (a menudo llamado "AuthorizationServer"), personalmente prefiero agregarlo a mi "proyecto API" cuando no está destinado a ser utilizado a través de múltiples API (aquí, tendría que insertarlo en el alojamiento del proyecto "api.prettypictures.com").

Encontrarás una gran muestra en el repositorio Katana:

Https://katanaproject.codeplex.com/SourceControl/latest#tests/Katana.Sandbox.WebServer/Startup.cs

app.UseOAuthAuthorizationServer(new OAuthAuthorizationServerOptions
{
    AuthorizeEndpointPath = new PathString("/oauth2/authorize"),
    TokenEndpointPath = new PathString("/oauth2/token"),
    ApplicationCanDisplayErrors = true,

    AllowInsecureHttp = true,

    Provider = new OAuthAuthorizationServerProvider
    {
        OnValidateClientRedirectUri = ValidateClientRedirectUri,
        OnValidateClientAuthentication = ValidateClientAuthentication,
        OnGrantResourceOwnerCredentials = GrantResourceOwnerCredentials,
    },
    AuthorizationCodeProvider = new AuthenticationTokenProvider
    {
        OnCreate = CreateAuthenticationCode,
        OnReceive = ReceiveAuthenticationCode,
    },
    RefreshTokenProvider = new AuthenticationTokenProvider
    {
        OnCreate = CreateRefreshToken,
        OnReceive = ReceiveRefreshToken,
    }
});

No dude en navegar por todo el proyecto para ver cómo el el formulario de consentimiento de autorización se ha implementado utilizando archivos Razor simples. Si prefiere un marco de alto nivel como ASP.NET MVC o NancyFx, cree su propio controlador AuthorizationController y métodos Authorize (asegúrese de aceptar tanto GET como POST) y use el Enrutamiento de atributos para que coincida con el AuthorizeEndpointPath definido en su servidor de autorización OAuth2 (ie. [Route("oauth2/authorize")] en mi ejemplo, donde he cambiado el AuthorizeEndpointPath para usar oauth2/ como una base de ruta).

La otra cosa que debe hacer es agregar un OAuth2 cliente de autorización en su aplicación web. Desafortunadamente, no hay soporte al cliente genérico OAuth2 en Katana, y tendrás que construir el tuyo propio. He presentado personalmente una propuesta al equipo Katana, pero ha sido rechazada. Pero no te asustes, es bastante fácil de hacer:

Copie los archivos apropiados de Microsoft.Owin.Seguridad.Repositorio de Google ubicado allí: https://katanaproject.codeplex.com/SourceControl/latest#src/Microsoft.Owin.Security.Google/GoogleOAuth2AuthenticationHandler.cs

Necesitarás GoogleOAuth2AuthenticationHandler, GoogleOAuth2AuthenticationMiddleware, GoogleOAuth2AuthenticationOptions, GoogleAuthenticationExtensions (tendrás que eliminar los primeros 2 métodos correspondientes a la implementación de Google OpenID), IGoogleOAuth2AuthenticationProvider, GoogleOAuth2ReturnEndpointContext, GoogleOAuth2AuthenticationProvider, GoogleOAuth2AuthenticatedContext y GoogleOAuth2ApplyRedirectContext. Una vez que haya insertado estos archivos en el alojamiento de su proyecto "webpics.com", cambiar el nombre en consecuencia y cambiar la autorización y acceso token endpoints URL en GoogleOAuth2AuthenticationHandler para que coincida con los que ha definido en su servidor de autorización OAuth2.

Luego, agregue el método Use desde su renombrado/personalizado GoogleAuthenticationExtensions a su clase de inicio OWIN. Sugiero usar AuthenticationMode.Active para que sus usuarios sean redirigidos directamente a su endpoint de autorización API OAuth2. Por lo tanto, usted debe suprimir el "api.prettypictures.com/Account/ExternalLogins" viaje de ida y vuelta y deje que el middleware del cliente OAuth2 altere las respuestas 401 para redirigir a los clientes a su API.

Buena suerte. Y no lo dudes si necesitas más información;)