DotNetOpenAuth 白名单和黑名单如何工作？

Question

有人有关于 DotNetOpenAuth 及其处理列表和黑名单的方式的文档吗？

我的配置

<untrustedWebRequest>
        <blacklistHosts>
            <add name="*" />
        </blacklistHosts>

      <whitelistHosts>
        <add name="www.mysite.ca" />
        <add name="mysite.ca" />
        <add name="devel.mysite.ca" />
        <add name="devel.mysite.com" />
        <add name="mysite.com" />
        <add name="www.mysite.com" />

      </whitelistHosts>


    </untrustedWebRequest>

我想要的是让它取消请求，如果它是不在 whilelist 中的任何站点。我当前正在运行版本 2.5.49045，但计划很快更新。

使用

<blacklistHostsRegex> 
<add name=".*" />  
</blacklistHostsRegex>

被阻止的站点，甚至是白名单中的站点。

Answer 1

处理白名单和黑名单的逻辑是这样的：

DotNetOpenId/DotNetOpenAuth 对于一些安全和不安全的主机名已经有了一些直觉。因此，它会阻止某些内容并允许其他内容，而无需您在这些列表中设置任何内容。这些列表将覆盖此行为。

1. DNOA 遇到隐式不允许的主机名。拒绝——除非它在白名单上，在这种情况下立即让它通过。
2. 主机名在其他方面看起来是安全的，但如果它在黑名单上，则拒绝。

黑名单上的主机（几乎）永远无法通过（例外情况是它看起来不安全并且它位于白名单上）。

如果您想将除一组特定主机之外的所有内容列入黑名单，我认为最好的选择是仅使用黑名单，然后执行 正则表达式“不”匹配：

<untrustedWebRequest>
    <blacklistHostsRegex>
        <add name="^(?!www.mysite.ca|www.mysite.com|devel.mysite.com)$" />
    </blacklistHostsRegex>
</untrustedWebRequest>

这看起来有点复杂。但它可以在当前版本的 DotNetOpenId/DotNetOpenAuth 中工作。展望未来，我将修复此问题，使其变得更加明显。

Answer 2

如果您尝试过滤允许用户登录的提供商，这可能不是最好的方法，因为它会破坏来自其他域的委托标识符，这些域委托给您确实信任的 OP。

要过滤 OP 端点，请将 OpenIdRelyingParty.EndpointFilter 属性设置为一个函数，该函数仅针对您喜欢的端点返回 true，针对您不喜欢的端点返回 false。