本篇体验ASP.NET Web API的安全管道。这里的安全管道是指在请求和响应过程中所经历的各个组件或进程，比如有IIS，HttpModule,OWIN,WebAPI，等等。在这个管道中大致分两个阶段，一个是验证阶段，另一个是授权阶段。
在ASP.NET Web API v1版本的时候，安全管道大致是这样的：
→ Authentication,请求来到IIS中的HttpModule
→ Authenticatin, 请求来到API的HttpMessageHandler
→ Authorization, 请求来到Authorization Filter
→ Authorization, 请求来到Controller
当ASP.NET Web API来到v2版本的时候，安全管道大致是：
→ 请求来到Host中的OWIN组件
→ 请求来到MessageHandler,全局或按每个请求
→ 请求来到Authentication Filter
→ 请求来到Authorization Filter
可见，加入了OWIN组件，OWIN是开源的， Microsoft在此基础上开发出了Katana验证中间件。
我们知道，ASP.NET Web API的宿主有两种方式：
1、Web宿主，ASP.NET, IIS
2、自宿主，WCF,.NET进程
如果把OWIN考虑进去，那就是：
1、IIS→ASP.NET+OWIN Bridge→ OWIN→Web API + OWIN Adapter
2、Process/Host+OWIN Bridge→OWIN→Web API + OWIN Adapter
一、了解管道中的各个组件
1.1 OWIN中间件
OWIN中间件的大致工作原理是：请求中的Header,Body,路由等信息被放在了IDictionary<string, object>这个字典集合中，并且提供了Invoke方法，把获取到的用户信息放在env[“server.user”]中，并且调用一个动作处理IDictionary<string, object>集合。
1.2 Katana Authentication Middleware
这是Microsoft基于OWIN开发出来的验证组件，大致是：
以上，至少可以看出，可以为OWIN组件选择验证方式。
1.3 Message Handler
实施在全局或某个请求上。大致是：
Message Handler从ASP.NET WEB API 2以后就不存在了。
1.4 Authentication Filter 验证过滤器
可以在全局配置:
WebApiConfig.cs
config.Filters.Add(new HostAuthenticationFilter(“Bearer”));
当然过滤器也可以放在控制器和方法层面：
1.5 Authorization Filter 授权过滤器
如果授权失败，返回401报错。
1.6 获取用户的Identity
通过ApiController的User属性获取到用户的Identity。注意，User属性值可能为null。
二、通过例子来体验安全管道
2.1 自定义HttpModule
首先，请求过来，肯定要通过HttpModule。我们需要自定义一个HttpModule，通过一个版主方法把当前的用户信息打印出来。
可见，HttpContext.Current是IPrincipal类型。
然后这是一个Web项目，需要把HTTP module注册一下。
如果此时项目下有一个default.html页面的话，运行项目，展示default.html的时候，控制台打印出如下信息：
—–HttpModule——-
anonymouse
显然，请求过来，自定义的Http Module起了作用，但目前还不能从IPrincipal中拿到User信息。
2.2 安装ASP.NET Web API 2
2.3 创建控制器
以上，通过ApiController的User属性获取到IPincipal类型。
2.4 安装Microsoft.Owin.Host.SystemWeb
2.5 安装Microsoft. ASP.NET Web API 2.1 OWIN
2.6 创建Startup类
这里，让WEB API的HttpConfiguraton实例赋值给类OWIN的IAppBuilder的UseWebApi方法。
2.7 请求路由：localhsot:8000/api/test
显示
——HttpModule——–
anonymous user
——Controller——–
anonymous user
可见，请求一路经过管道中的HttpModule和Controller，但依然没有拿到用户信息。
2.8 创建TestMiddleware类
进入HttpModule之后，和进入Controller之前，这里是OWIN组件的生存之地。
2.9 Startup类中增加有关TestMiddleware部分
3.10 请求路由：localhsot:8000/api/test
显示
——HttpModule——–
anonymous user
——Middleware——–
anonymous user
——Controller——
anonymous user
可见，请求一路过来历经管道中的HttoModule, OWIN, 最后到达Controller，依然没有获取到用户信息。
3.11 添加TestAuthenticationFilterAttribute类
在OWIN和Controller之间，还有验证的接口，这也是安全管道中的一个重要环节。
控制器增加过滤特性
3.12 请求路由：localhsot:8000/api/test
显示
——HttpModule——–
anonymous user
——Middleware——–
anonymous user
——AuthenticationFilter——–
anonymous user
——Controller——
anonymous user
可见，请求路径安全管道中的HttpModule,OWIN,验证，依然没有获取到用户信息。
3.13 增加TestAuthorizationFilterAttrbute类
在经过验证特性，以及进入Controller或Action之前，安全管道中还有一个重要的成员，就是授权特性。
控制器增加授权特性
3.14 请求路由：localhsot:8000/api/test
显示
——HttpModule——–
anonymous user
——Middleware——–
anonymous user
——AuthenticationFilter——–
anonymous user
——AuthorizationFilter——–
anonymous user
并报错：Authorization has been denied for this request
可见，在请求还没有到达Controller之前，就开始报错了。
于是，修改TestAuthorizationFilterAttrbute类如下：
3.15 请求路由：localhsot:8000/api/test
显示
——HttpModule——–
anonymous user
——Middleware——–
anonymous user
——AuthenticationFilter——–
anonymous user
——AuthorizationFilter——–
anonymous user
——Controller——–
anonymous user
可见，路由一路经过安全管道中的HttpModule, OWIN, AuthenticaitonFilter, AuthorizationFilter, Controller,依然没有获取到用户信息？
3.16 用户信息从哪里注入呢？
接下来要修改TestMiddleware类
3.17 请求路由：localhsot:8000/api/test
显示
——HttpModule——–
anonymous user
——Middleware——–
User: dom
——AuthenticationFilter——–
User: dom
——AuthorizationFilter——–
User: dom
——Controller——–
User: dom
总结：请求一路过来，会经过安全管道中的HttpModule, OWIN,AuthenticaitonFilter, AuthorizationFilter, Controller,最后到达Action, 而用户信息可以在OWIN中注入。
原文链接：https://www.cnblogs.com/darrenji/p/5290073.html
原创文章，作者：优速盾-小U，如若转载，请注明出处：https://www.cdnb.net/bbs/archives/17171
