NET仿微信Oauth2.0

时间 2019-11-29

标签微信 oauth2.0 oauth 繁體版

原文原文链接

这个文章先说一说Oauth2.0的原理，再到应用场景，最后才是代码实现，这样才学会最终的思想，并在应用场景使用，所谓实践出真理。web

1，Oauth2.0的原理数据库

OAuth是一个关于受权（authorization）的开放网络标准，在全世界获得普遍应用，目前的版本是2.0版。在互联网，常常用到OAuth2.0无非有三种场景：api

1.1对外彻底开放，系统与系统的对接，例如淘宝开放平台。缓存

1.2内部系统对内部系统，如：（api.xxxx.com是一个子系统，web.xxxx.com是另一个业务线的子系统，交给不一样的团队处理，有NET，有JAVA）安全

1.3内部系统对内部客户端系统。如（API.xxxx.com是对外开放的接口系统，IOS，安卓，C/S客户端，相关对接）.服务器

综合三种应用场景，咱们来分解一下Oauth2.0怎样在实践中使用。微信

在Oauth2.0的使用场景中，最多见到的就是对外彻底开放，像淘宝开放平台，新浪，腾讯QQ，微信，大量使用Oauth2.0，相反，后两种因为都是内部使用，因此通常都存在内部，让我觉得Oauth2.0受权模式只有第一种，其实不是，Oauth2.0分别有四种受权模式，分别为：网络

受权码模式（authorization code）
简化模式（implicit）
密码模式（resource owner password credentials）
客户端模式（client credentials）

而微信公众号采用的是受权码模式（authorization code），即颁发用户Appid,AppSecret,URL地址合法性，来进行统一调度与验证。，app

1.一、受权码模式

受权码模式（authorization code）是功能最完整、流程最严密的受权模式。它的特色就是经过客户端的后台服务器，与"服务提供商"的认证服务器进行互动，因此通常开放平台首先这一类受权码模式，新浪开放平台，公众号API，淘宝开放平台都采用这一类，通常搭配HTTPS来提升安全机制。微信公众平台

微信公众号API就是采用这一种模式，咱们来梳理一下受权码模式的流程：

它的步骤以下：

（A）用户访问客户端，后者将前者导向认证服务器。

（B）用户选择是否给予客户端受权。

（C）假设用户给予受权，认证服务器将用户导向客户端事先指定的"重定向URI"（redirection URI），同时附上一个受权码。

（D）客户端收到受权码，附上早先的"重定向URI"，向认证服务器申请令牌。这一步是在客户端的后台的服务器上完成的，对用户不可见。

（E）认证服务器核对了受权码和重定向URI，确认无误后，向客户端发送访问令牌（access token）和更新令牌（refresh token）。

下面是上面这些步骤所须要的参数。

A步骤中，客户端申请认证的URI，包含如下参数：

response_type：表示受权类型，必选项，此处的值固定为"code"
client_id：表示客户端的ID，必选项
redirect_uri：表示重定向URI，可选项
scope：表示申请的权限范围，可选项
state：表示客户端的当前状态，能够指定任意值，认证服务器会原封不动地返回这个值。

再来看一看微信公众平台OAuth2.0受权详细步骤以下：

1. 用户关注微信公众帐号。
2. 微信公众帐号提供用户请求受权页面URL。
3. 用户点击受权页面URL，将向服务器发起请求
4. 服务器询问用户是否赞成受权给微信公众帐号(scope为snsapi_base时无此步骤)
5. 用户赞成(scope为snsapi_base时无此步骤)
6. 服务器将CODE经过回调传给微信公众帐号
7. 微信公众帐号得到CODE
8. 微信公众帐号经过CODE向服务器请求Access Token
9. 服务器返回Access Token和OpenID给微信公众帐号
10. 微信公众帐号经过Access Token向服务器请求用户信息(scope为snsapi_base时无此步骤)
11. 服务器将用户信息回送给微信公众帐号(scope为snsapi_base时无此步骤)

是否是一目了然，那么根椐这个需求，整理一下流程为：

1，先去开放平台（api地址）申请一个CODE，（那么咱们须要判断appid,请求过来的URL合法性，生成CODE，并附于某个时间有效，5分钟失效，仿微信，而后作持久存储）。

2，再根据CODE，APPID，AppSecret（平台颁发的应用ID及密锁），生成有效期的Access Token。（判断APPID，AppSecret合法性，而后根椐Appid获取持久存储层的Access Token，并把CODE取消合法,而后返回Access Token过时时间）

3，判断Access Token的合法化，完成。

流程梳理完了，咱们就开始实现代码的编写：

 /// <summary>
        /// 对接商家，开放平台的接口
        /// </summary>
        /// <param name="AppId">应用ID</param>
        /// <param name="RedirectUri">受权回调地址</param>
        /// <param name="response_type"></param>
        /// <param name="scope"></param>
        /// <param name="state"></param>
        /// <returns></returns>
        [HttpGet]
        public dynamic authorize(string AppId, string RedirectUri, string response_type, string scope, string state)
        {
            //获取APPID应用表的字段
            var model = _ISellerApplication.Get(AppId);
          //判断APPID合法性及RedirectUri地址的合法
            if (model.AppId.Trim().ToLower() == model.AppId.ToLower() && RedirectUri.ToLower().Contains(model.ApplicationUrl.ToLower()))
            {
             

               //请求的地址合法性,若是不合法，直接返回
                if (!Request.RequestUri.AbsoluteUri.Contains(model.ApplicationUrl.ToLower()))
                {
                                    return Redirect($"{RedirectUri}?state={state}");
                }
                var appcodemodel = new AppCodeModel()
                {
                    AccessToken = string.Concat(Guid.NewGuid().ToString("N"), Guid.NewGuid().ToString("N")).ToLower().CutString(40),
                    AppCode = string.Concat(Guid.NewGuid().ToString("N"), Guid.NewGuid().ToString("N")).ToLower().CutString(40),
                    ApplicationUrl = RedirectUri,
                    CreateDate = DateTime.Now,
                   AppId=model.AppId

                };

                //若是插入成功，返回CODE给他们
                if (_IAppCode.Insert(appcodemodel))
                {
                    if (RedirectUri.Equals("?"))
                    { return Redirect($"{RedirectUri}&state={state}&code={appcodemodel.AppCode}");
                    }
                    else
                    { return Redirect($"{RedirectUri}?state={state}&code={appcodemodel.AppCode}");}
                }
            }
            //插入不成功，直接返回state
            return Redirect($"{RedirectUri}?state={state}");
        }

再实现第二步调用：

  /// <summary>
        ///经过网页受权获取access_token
        /// </summary>
        /// <param name="AppId"></param>
        /// <param name="AppSecret"></param>
        /// <param name="code"></param>
        /// <param name="grant_type"></param>
        /// <returns></returns>
        [HttpGet]
        public dynamic AccessToken(string AppId, string AppSecret, string code, string grant_type)
        {

              //从持久层获取APPID模型
            var model = _IAppSoft.Get(AppId);
            //判断Appid
            if (model == null || model.AppId.Trim() != AppId.Trim())
            {
                return new ApiArgumentException(ApiArgumentExceptionEum.APPID出错.ToString(), (int)ApiArgumentExceptionEum.APPID出错);
            }
             //判断AppSecret
            if (model.AppSecret.Trim() != AppSecret.Trim())
            {
                return new ApiArgumentException(ApiArgumentExceptionEum.AppSecret错误.ToString(), (int)ApiArgumentExceptionEum.AppSecret错误);
            }
          //获取CODE并判断，CODE是否在过时范围内，5表示5分钟内有效
            var AppCodeModel = _IAppCode.Get(5));

            if (AppCodeModel == null)
            {
                return new ApiArgumentException(ApiArgumentExceptionEum.不合法的oauth_code.ToString(), (int)ApiArgumentExceptionEum.不合法的oauth_code);
            }
            var apptokenmodel = new AppTokenModel()
            {
                AccessToken = AppCodeModel.AccessToken,
                AppId = AppId,
                ClientId = model.ClientId,
                CreateDate = DateTime.Now,
                ExpireDate = DateTime.Now.AddHours(2),
                Status = 0
            };
           //把AccessToken插入数据库，或者存储缓存
            bool bl = _IAppToken.Insert(apptokenmodel);
           //返回 AccessToken 及过时时间
            return new
            {
                AccessToken = AppCodeModel.AccessToken,
                ExpireDate = 7200
            };
         

        }

如今仿微信都完成了受权的核心代码，第二步就可开始写AOP，而后统一验证AccessToken，因为用到的是WEB API2.0,因此咱们统一写一个AOP类，而且继承 AuthorizationFilterAttribute, IActionFilter类，便可以写一个简单的AOP

代码以下：

namespace Saas.AOP
{

    [AttributeUsage(AttributeTargets.Class | AttributeTargets.Method, AllowMultiple = false)]

    

    public class AppOauthAuthentication : AuthorizationFilterAttribute, IActionFilter
    {
      
        protected AppTokenModel apptoken;

        public AppOauthAuthentication() { }

        public override void OnAuthorization(HttpActionContext actionContext)
        {
            var query = actionContext.Request.GetParamsFromUrl();

            var tokenString = query.Get("accessToken");


            if (string.IsNullOrWhiteSpace(tokenString) )
            {
                actionContext.Response = CreateResponse(actionContext, 101, "请检查oauth认证参数");
                return;
            }
            apptoken = new AppTokenBusiness().GetByAccessToken(tokenString);


            if (apptoken == null)
            {
                actionContext.Response = CreateResponse(actionContext, 102, "未找到指定的accessToken");
                return;
            }


            if (apptoken.ExpireDate < DateTime.Now)
            {
                actionContext.Response = CreateResponse(actionContext, 104, "accessToken已过时");
                return;
            }

            if (apptoken.Status == 1)
            {
                actionContext.Response = CreateResponse(actionContext, 105, "APPID已更正,当前accessToken已失效");
                return;
            }
           Thread.CurrentPrincipal = new GenericPrincipal(new GenericIdentity(apptoken.AppId), null);
            base.OnAuthorization(actionContext);
        }

}}

调用以下：

   /// <summary>
        /// 例子
        /// </summary>
    
        /// <returns></returns>
        [HttpPost, AppOauthAuthentication]
        public int test()
        {   
             return 1;

       }

而简单的一个仿微信的Oauth2.0，就完成了。

而关于Oauth2.0对于内部系统调用，以及APP怎样搭建一个通用的Oauth2.0，在明天再写，结合三种场景，搭建整一套的NET Oauth2.0系统，并完成跨平台。

因为公司项目，是整一套的，暂时没整理实现开放，有须要交流的能够加我微信，BON184195873,扫描如下二维码，备注：CNBLOGS便可以。