ASP.NET Web API（三）：安全验证之使用摘要认证(digest authentication)

在前一篇文章中主要讨论了使用HTTP基本认证的方法因为HTTP基本认证的方式决定了它在安全性方面存在很大的问题所以接下来看看另一种验证的方式digest authentication即摘要认证。系列文章列表ASP.NET Web API一使用初探GET和POST数据ASP.NET Web API二安全验证之使用HTTP基本认证ASP.NET Web API三安全验证之使用摘要认证(digest authentication)摘要认证原理在基本认证的方式中主要的安全问题来自于用户信息的明文传输而在摘要认证中主要通过一些手段避免了此问题大大增加了安全性。下图为摘要验证的验证原理流程图。下面大致看一下这部分的验证流程客户端请求 /api/employees服务端返回401未验证的状态并且在返回的信息中包含了验证方式Digestrealm的值QOP(quality of protection)只设置成authnonce为一串随机值在下面的请求中会一直使用到当过了存活期后服务端将刷新生成一个新的nonce值客户端接受到请求返回后将username:realm:password进行HASH运算假设运算后的值为HA1。又将请求的路径/api/employees进行HASH运算假设运算后的值为HA2。再将HA1:nonce:nc:cnonce:qop:HA2进行HASH运算得到的值放在response中。这里的cnonce为客户端生成的nonce值而nc用于统计假设开始时为00000001下次请求后就变成了00000002不一定每次都加1但是后面请求中的nc值肯定大于前一次请求中的nc值。服务端收到请求后将验证nonce是否过期如果过期那么直接返回401即第二步的状态。如果没有过期那么比较nc值如果比前一次nc值小或者前一次根本没有存储的nc值那么也将直接返回401状态。如果前面的验证都通过那么服务端也将按照步骤3中计算最终HASH值的步骤计算出HASH值与客户端的进行比较然后比较客户端提交过来的HASH值与服务端计算出来的HASH进行比较不匹配返回401匹配获取请求的数据并返回状态200。摘要验证主要就是通过上面的HASH比较的步骤避免掉了基本验证中的安全性问题。需要注意的是如果需要IIS支持摘要验证需要把IIS摘要验证的特性勾上。摘要验证的实现在理解了摘要验证的原理之后只需要用代码实现即可。判断nonce是否过期的方法。1publicstaticboolIsValid(stringnonce,stringnonceCount)2{3Tupleint, DateTime cachedNonce null;4nonces.TryGetValue(nonce,outcachedNonce);56if(cachedNonce !null)//nonce is found7{8//nonce count is greater than the one in record9if(Int32.Parse(nonceCount) cachedNonce.Item1)10{11//nonce has not expired yet12if(cachedNonce.Item2 DateTime.Now)13{14//update the dictionary to reflect the nonce count just received in this request15nonces[nonce] newTupleint, DateTime(Int32.Parse(nonceCount),16cachedNonce.Item2);1718//Every thing looks ok - server nonce is fresh and nonce count seems to be19//incremented. Does not look like replay.20returntrue;21}22}23}2425returnfalse;26}判断nonce是否过期的代码下面为摘要验证实现的核心方法1namespaceDigestAuthentication2{3publicclassAuthenticationHandler : DelegatingHandler4{5protectedasyncoverrideTaskHttpResponseMessageSendAsync(HttpRequestMessage request, CancellationToken cancellationToken)6{7try8{9varheaders request.Headers;10if(headers.Authorization !null)11{12Header header newHeader(request.Headers.Authorization.Parameter,13request.Method.Method);1415if(Nonce.IsValid(header.Nonce, header.NounceCounter))16{17//Just assuming password is same as username for the purpose of illustration18stringpassword header.UserName;1920stringha1 String.Format({0}:{1}:{2}, header.UserName, header.Realm,21password).ToMD5Hash();2223stringha2 String.Format({0}:{1}, header.Method, header.Uri).ToMD5Hash();2425stringcomputedResponse String26.Format({0}:{1}:{2}:{3}:{4}:{5},27ha1, header.Nonce, header.NounceCounter,28header.Cnonce,auth, ha2).ToMD5Hash();2930if(String.CompareOrdinal(header.Response, computedResponse) 0)31{32//digest computed matches the value sent by client in the response field.33//Looks like an authentic client! Create a principal.34varclaims newListClaim35{36newClaim(ClaimTypes.Name, header.UserName),37newClaim(ClaimTypes.AuthenticationMethod, AuthenticationMethods.Password)38};3940varprincipal newClaimsPrincipal(new[] {newClaimsIdentity(claims,Digest) });4142Thread.CurrentPrincipal principal;4344if(HttpContext.Current !null)45HttpContext.Current.User principal;46}47}48}4950varresponse awaitbase.SendAsync(request, cancellationToken);5152if(response.StatusCode HttpStatusCode.Unauthorized)53{54response.Headers.WwwAuthenticate.Add(newAuthenticationHeaderValue(Digest,55Header.UnauthorizedResponseHeader.ToString()));56}5758returnresponse;59}60catch(Exception)61{62varresponse request.CreateResponse(HttpStatusCode.Unauthorized);63response.Headers.WwwAuthenticate.Add(newAuthenticationHeaderValue(Digest,64Header.UnauthorizedResponseHeader.ToString()));6566returnresponse;67}68}69}7071}摘要验证实现的核心方法实现完成后使用摘要验证只需要在对应的方法加上[Authorize]属性标签即可。摘要验证的优缺点摘要验证很好地解决了使用基本验证所担心的安全性问题。但是永远没有绝对的安全当用户使用字典进行穷举破解时还是会存在一些被破解的隐患。源码下载编辑器里怎么找不到上传文件的地方了我上传到了百度网盘里。源代码下载