向现有项目添加 WIF STS 服务

Question

我们有几个以以下方式设置的网站：

Site1.Web - ASP.NET Web 项目（.NET 4.0、WebForms） Common.Core - 类库项目（所有数据库交互）

Web 项目为每个站点出现一次，而 Common.Core 项目在所有站点之间共享。我们在 Web 项目中有一个登录表单，为了进行身份验证，需要调用类库。它将调用类似于下面的代码：

Common.Core.Authenticate auth = new Common.Core.Authenticate(conStr);
bool validLogin = auth.ValidateUser(userName, password);
if(validLogin)
{
    Common.Core.User = auth.GetCurrentUser();
}

高层正在推动中间层服务/应用程序层，并希望使用更优雅的解决方案来处理单点登录。因此，决定使用 WIF 服务来处理登录和验证。此外，我们希望尽量减少每个 Web 项目中必须更改的代码，即尝试在 Common.Core 中保留尽可能多的更改。

我看过一些示例，展示了如何向 Web 项目添加 STS 引用。在用户验证未纳入 Core.Common 等其他项目的情况下，这会很有效。然而，在我们的场景中，我们如何在仍然使用公共类库的同时处理验证？

理想情况下，我想添加对 Core.Common 类库的 STS 引用，并用对 STS 服务的调用替换直接数据库逻辑（上面的 auth.ValidateUser）。然而，有可能这样做吗？请求是否必须在 Web 项目中发起？如果是这样，两个地方都需要 STS 参考吗？

遵循同一网络项目的任何教程或资源 ->类库-> STS 服务路径将不胜感激。

Answer 1

我还建议使用 WIF :-)

在基于声明的场景中，身份验证过程是“相反的”。您的应用程序不会呼叫任何人，它将从受信任的来源（STS）接收所需的信息。

“STS 参考”不是库参考。它是您的应用程序与安全令牌的可信来源之间的逻辑连接。令牌是您的应用程序将用来决定如何处理用户请求的工件。

我同意 @nzpcmad 的观点，您可能可以完全删除对 Common.Core 库的调用。看看你还能用它做什么可能会很有用。 Common.Core.User 对象为您提供了什么？

如果它只是用户的属性（例如姓名、电子邮件、角色等），您很可能只需创建一个简单包装IPrincipal的新版本由 WIF（ClaimsPrincipal）提供。

例如（大约没有错误处理，伪代码）：

public User CurrentUser()
{
    var user = new User();
    var cu = HttpContext.Current.User as IClaimsPrincipal;
    user.Name = cu.Name;
    user.eMail = (cu.Identity as IClaimsIdentity).Claims.First( c=> c.ClaimType = "eMail" ).Value;
    return user;
}

正如@nzpcmad所说，您可以使用ADFS或其他一些STS。你的应用程序不会关心。

Answer 2

实现此目的的一种方法是使用 ADFS 实例来 FedUtil ASP.NET 项目。本质上，身份验证现在已“外包”，您只需从应用程序中删除对核心库的调用即可。然后，ADFS 设置为返回程序授权所需的任何属性作为声明。您可能需要将这些声明属性转换为在后续调用中传递回公共核心的任何属性。

或者，您可以使公共核心“声明感知”，因为它现在识别“声明属性”而不是“公共核心”属性。这涉及使用不同的 .NET 类 - 不需要连接到 ADFS。

警告的话 - 您的身份验证似乎都与数据库相关。 ADFS 无法针对数据库进行身份验证。它只能针对安装 ADFS 的域中的 AD 实例（或其他 AD，如果 AD 之间存在信任关系）进行身份验证。

如果您想针对数据库进行身份验证，则需要一个自定义 STS，然后将其与 ADFS 联合。请参阅此处：身份服务器。