1 API接口验证与授权

JWT

JWT定义，它包含三部分：header，payload，signature；每一部分都是使用Base64编码的JSON字符串。之间以句号分隔。signature是”header.payload”经加密后的字符串。

采用JWT实现验证与授权检验机制，JWT格式为：

header ：
{
 "typ": "JWT",
 "alg": "HS256"
}
payload：appid为GUID，timestamp为unix时间戳
{
 "appid": GUID,
 "timestamp": Unix time
}

Signature：使用HS256（HMAC SHA-256，SHA Secure Hash Algorithm，安全散列算法）对header和payload以‘.’连接的字符串进行签名。

对JWT加密：采用RSA加密算法对其进行加密。

密钥发放

发放给客户端的参数：appId、appSecret、publicKey、privateKeyId。其中publicKey为RSA公钥，privateKeyId为服务端私钥Id。服务端或根据privateKeyId在缓存（本地或Redis等）中查找RSA私钥。

合成accessToken：header、payload与上述相同，签名密钥为appSecret。合成以后，使用publicKey对其进行加密。

合成headerJson:由accessToken和privateKeyId构成的Json字符串，然后将字符串用Base64编码方式编码。

验证流程

客户端将上述headerB64放入请求头，向服务端发起请求，服务端从请求头中拿到headerJson并解码headerJson，进而从中得到accessToken和privateKeyId，服务端根据privateKeyId找到privateKey，使用privateKey对accessToken解密，根据payload中的timestamp验证过期，若未过期，那么进行签名校验，验证通过授权用户端。

示例代码(关键性代码)

public abstract class BasicAuthenticationAttribute : Attribute, IAuthenticationFilter
 {
 
 public async Task AuthenticateAsync(HttpAuthenticationContext context, System.Threading.CancellationToken cancellationToken)
 {
 await Task.Factory.StartNew(()=>
 {
 //解析头信息，获得appid和timestamp
 var header = ...
 //如果未获得上述信息
 if (header == null)
 {
 context.ErrorResult = new AuthenticationFailureResult(requestHeaderAnalysis.ExecStatus, context.Request);
 return;
 }
 
 //从缓存中获得RSA私钥
	string privateKey= ...
 if (String.IsNullOrWhiteSpace(privateKey))
 {
 context.ErrorResult = new AuthenticationFailureResult(StatusCodeManager.GetStatusInfo("B07", "a001"), context.Request);
 return;
 }
 
 //使用RSA私钥对AccessToken解密
 string accessToken = Decrypt(requestHeaderInfo.AccessToken, privateKey);
 if (String.IsNullOrWhiteSpace(accessToken))
 {//验证凭据是空，设置错误信息
 context.ErrorResult = new AuthenticationFailureResult(StatusCodeManager.GetStatusInfo("B05", "a001"), context.Request);
 return;
 }
 
 //从AccessToken的payload中获得appKey和timestamp(时间戳)
 var payloadDict = JsonWebToken.DecodeToObject(accessToken);
 string appKey = Convert.ToString(payloadDict["appKey"]);
 string timestamp = Convert.ToString(payloadDict["timestamp"]);
 
 //在服务端数据库中，根据appKey查找appSecret
 ApiAccount apiAccount = GetApiAccount(appKey);
 if (apiAccount==null||string.IsNullOrWhiteSpace(apiAccount.AppSecret))
 {
 context.ErrorResult = new AuthenticationFailureResult(StatusCodeManager.GetStatusInfo("B05", "a001"), context.Request);
 return;
 }
 
 //验证是否超时，签名是否被篡改
 try
 {
 //允许的时间段(小时转化为秒)
 JsonWebToken.Validate(accessToken, apiAccount.AppSecret, (int)AppSettings.TokenTimeout.TotalSeconds);
 }
 catch (TokenExpiredException ex)
 {
 context.ErrorResult = new AuthenticationFailureResult(StatusCodeManager.GetStatusInfo("B03", "a001"), context.Request);
 return;
 }
 catch (SignatureVerificationException ex)
 {
 context.ErrorResult = new AuthenticationFailureResult(StatusCodeManager.GetStatusInfo("B02", "a001"), context.Request);
 return;
 }
 
 });
 //其他验证逻辑
 await AuthenticateHockAsync(context, cancellationToken);
 }
 
 
 //// <summary>
 /// 子类中重写
 /// 实现他验证逻辑
 /// </summary>
 protected abstract Task AuthenticateHockAsync(HttpAuthenticationContext context, System.Threading.CancellationToken cancellationToken);
 
 /// <summary>
 /// 设置principal
 /// </summary>
 public Task ChallengeAsync(HttpAuthenticationChallengeContext context, System.Threading.CancellationToken cancellationToken)
 {
 return Task.FromResult(0);
 }
 public bool AllowMultiple
 {
 get { return true; }
 }
 }

2 用户授权

某些数据只有用户登陆了才能够获得，并且不同的用户对数据的访问级别也不一样，为实现登陆验证与角色控制，采用以下方式。

在上述实现API接入权限验证的基础上，为headerJson增加一个字段：loginToken；和accessToken相似，loginToken也是JWT标准字符串，不同的是loginToken的payload部分，loginToken的payload结构为：

{
	"identifyingCode": GUID,
 "account":userAccount
 "timestamp": Unix time
}

其中：identifyingCode值为GUID，account为用户账号，timestamp是UNIX时间戳。

客户端不生成loginToken，在客户端合成accessToken后，调用服务端的登陆方法，成功登陆后获得loginToken。

服务端验证流程

客户端调用登陆方法的同时，如果登陆成功，服务端会将登陆信息存储到缓存中，主要的就是loginToken，根据业务需要可以增加其他信息。每一个loginToken对应了一个键值，这里使用useAccount,即用户账号作为键值。服务端获得loginToken后，根据privateKeyId(headerJson字段之一)获得privateKey对loginToken解密，根据payload中的timestamp验证是否过期，然后验证签名是否正确，接着根据account找到上次登陆时服务端缓存中存储的loginToken，比较本次loginToken中的identifyingCode是否与上次一样，不一样表明，其在另一台设备登陆过。

单设备登陆：

某些情形下，不允许多设备同时使用同一账号登陆或多人同时使用同一账号，上述方法采用loginToken中添加identifyingCode字段来控制多设备同时使用同一账号的情形。

示例代码(关键性代码)

public class LoginAuthenticationAttribute : BasicAuthenticationAttribute
 {
 protected override async Task AuthenticateHockAsync(HttpAuthenticationContext context, System.Threading.CancellationToken cancellationToken)
 {
 await Task.Factory.StartNew(() => 
 {
 //解析头信息，获得appid和timestamp
 var header = ...
 //如果未获得上述信息
 if (header == null)
 {
 context.ErrorResult = new AuthenticationFailureResult(...);
 return;
 }
 
 
 //获得LoginToken
 if (String.IsNullOrWhiteSpace(requestHeaderInfo.LoginToken))
 { //验证凭据是空，设置错误信息
 context.ErrorResult = new AuthenticationFailureResult(StatusCodeManager.GetStatusInfo("B01", "a002"), context.Request);
 return;
 }
 
 //从loginToken的payload中获得account，timestamp(时间戳)
 var payloadDict = JsonWebToken.DecodeToObject(requestHeaderInfo.LoginToken);
 string identifyingCode = Convert.ToString(payloadDict["identifyingCode"]);
 string account = Convert.ToString(payloadDict["account"]);
 string timestamp = Convert.ToString(payloadDict["timestamp"]);
 //从缓存中获得LoginToken
 LoginInfoDAL loginInfoDAL = new LoginInfoDAL(AppSettings.TokenTimeout);
 LoginCacheModel loginInfo = loginInfoDAL.GetLoginInfo(account);
 if (loginInfo == null)
 {
 context.ErrorResult = new AuthenticationFailureResult(StatusCodeManager.GetStatusInfo("C13", "a002"), context.Request);
 return;
 }
 
 //比较客户端传入LoginToken和缓存中的LoginToken的userId
 var payloadDictCache = JsonWebToken.DecodeToObject(loginInfo.LoginToken);
 string identifyingCodeCache = Convert.ToString(payloadDictCache["identifyingCode"]);
 
 if (identifyingCodeCache != identifyingCode)
 {//不相等，提示在另一台设备登陆
 context.ErrorResult = new AuthenticationFailureResult(StatusCodeManager.GetStatusInfo("C08", "a002"), context.Request);
 return;
 }
 
 //得到密钥
 TokenKeyDAL tokenKeyDAL = new TokenKeyDAL(AppSettings.TokenTimeout);
 string loginTokenKey = tokenKeyDAL.GetTokenKey(account);
 if (string.IsNullOrWhiteSpace(loginTokenKey))
 {
 context.ErrorResult = new AuthenticationFailureResult(StatusCodeManager.GetStatusInfo("B04","a002"), context.Request);
 return;
 }
 
 //验证是否超时，LoginToken是否被篡改
 try
 {
 //允许的时间段(小时转化为秒)
 int allowSpan = (int)AppSettings.TokenTimeout.TotalSeconds;
 JsonWebToken.Validate(requestHeaderInfo.LoginToken, loginTokenKey, allowSpan);
 }
 catch (TokenExpiredException ex)
 {
 context.ErrorResult = new AuthenticationFailureResult(StatusCodeManager.GetStatusInfo("B03", "a002"), context.Request);
 }
 catch (SignatureVerificationException ex)
 {
 context.ErrorResult = new AuthenticationFailureResult(StatusCodeManager.GetStatusInfo("B02", "a002"), context.Request);
 }
 });
 }
 }