WCF 自定义验证器：如何初始化“用户”验证器来自自定义验证器的对象

Question

我有一个工作自定义 UserNamePasswordValidator 可以调用我的 Oracle DB。

此类派生自 System.IdentityModel.Selectors.UserNamePasswordValidator，并且 Validate() 方法返回 void。

我从数据库加载我的用户对象，一旦验证了密码，我想隐藏我的“用户”对象，以便服务在处理其业务时可以访问它。在 ASP.NET/Java 领域，我会将其存储到会话中，或者可能是我的整个控制器类中。如何从 WCF 中的验证器执行此操作？

或者，换句话说，WCF 领域为服务设置自定义用户域对象的最佳实践是什么。

更新：这就是我解决这个问题的方法。我在验证器期间缓存 User 对象，然后在 AuthorizatinPolicy 步骤中访问它。

  // this gets called after the custom authentication step where we loaded the User
  public bool Evaluate(EvaluationContext evaluationContext, ref object state)
  {
     // get the authenticated client identity
     IIdentity client = GetClientIdentity(evaluationContext);

     User user;
     OraclePasswordValidator.users.TryGetValue(client.Name, out user);
     if(user != null) {
        // set the custom principal
        evaluationContext.Properties["Principal"] = user;
        return true;
     }

     return false;
  }

Answer 1

我不是 WCF 专家，但从我迄今为止阅读和实现的内容来看，执行此操作的“正确”方法是使用 Validator 进行身份验证用户，然后实现一个 IAuthorizationPolicy 来执行实际的授权。因此，您将在授权策略中在当前线程上设置自定义主体。

为了能够转发来自用户名/密码验证的信息，您可以实现一个继承自 UserNameSecurityTokenAuthenticator 的安全令牌身份验证器。 SecurityTokenAuthenticator将首先调用验证器，如果验证成功，它可以添加您的自定义授权策略并通过构造函数将用户信息发送到策略。内容很长：

public class CustomUsernameSecurityTokenAuthenticator : UserNameSecurityTokenAuthenticator
{
    protected override bool CanValidateTokenCore(System.IdentityModel.Tokens.SecurityToken token)
    {
        return (token is UserNameSecurityToken);
    }

    protected override ReadOnlyCollection<IAuthorizationPolicy> ValidateTokenCore(SecurityToken token)
    {
        var authorizationPolicies = new List<IAuthorizationPolicy>();

        try
        {
            var userNameToken = token as UserNameSecurityToken;
            new CustomUserNameValidator().Validate(userNameToken.UserName, userNameToken.Password);

            var claims = new DefaultClaimSet(ClaimSet.System, new Claim(ClaimTypes.Name, userNameToken.UserName, Rights.PossessProperty));

            authorizationPolicies.Add(new CustomAuthorizationPolicy(claims));
        }
        catch (Exception)
        {
            authorizationPolicies.Add(new InvalidAuthorizationPolicy());
            throw;
        }
        return authorizationPolicies.AsReadOnly();
    }
}

这里有一篇文章对所涉及的类进行了更多描述； http://blogs.msdn.com/card/archive/2007/10/04/how-identity-providers-can-show-custom-error-messages-in-cardspace.aspx

Answer 2

我有完全相同的问题。

我正在使用 API 连接到底层 Oracle 数据库，并通过打开连接来“验证”登录详细信息。

然后，我想将此连接存储在某个地方（很简单，我将为所有不同的用户创建一个连接池），但也创建一个代表该用户的自定义身份和主体，这样一旦它到达我的自定义 IAuthorizationPolicy，它就不会'不需要重新加载此信息。

我已经进行了大量搜索，但没有找到任何内容，因此我的计划是这样做：

1. 通过打开 API 连接来验证自定义 UserNamePasswordValidator 中的登录详细信息。

2. 将打开的连接存储在用户名下的连接池中。

3. 当调用我的自定义 IAuthorizationPolicy.Evaluate() 时，我将查看提供的通用身份：

   IIdentity GetClientIdentity（EvaluationContext 评估上下文）
   {
       对象 obj；
       if (!evaluationContext.Properties.TryGetValue("Identities", out obj))
           抛出新的异常（“未找到身份”）；
   
          IList identities = obj as IList;
          if (identities == null || identities.Count <= 0)
             抛出新的异常（“未找到身份”）；
   
          返回身份[0]；
      }
   

抱歉，我无法摆脱这个糟糕的 HTML 转义）

4. 然后我获取一个连接从基于 IIdentity.Name 的池中，使用此连接从数据库加载特定于用户的数据，并将其存储在我在评估上下文中设置的自定义身份和主体中：

   public bool Evaluate(EvaluationContextvaluationContext, ref 对象状态)
   {
       IIdentity 身份 = GetClientIdentity(evaluationContext);
       如果（身份==空）
           抛出新的异常（）；
   
           // 这些是我的自定义身份和主体类
           身份customIdentity = new Identity();
           委托人 customPrincipal = 新委托人(customIdentity);
           // 根据需要填充身份和主体
           valuationContext.Properties["Principal"] = customPrincipal;
           返回真；
       }
   

那么我应该可以在需要时使用 System.Threading.Thread.CurrentPrincipal 或 CurrentIdentity 访问我的自定义身份和主体。

希望这能在某种程度上有所帮助；我不确定这是最好的方法，但这是迄今为止我想到的最好的方法......

史蒂夫