問題タブ [bearer-token]

これが私のシナリオです。Thinktecture.IdentityServerプロバイダーに基づくOpenIdConnectAuthenticationを使用する MVC4.5/WebApi2 アプリケーションがあります。これまでのところ、MVC に対して認証できます。ここで、Bearer Token を使用して WebApi に対して認証したいと考えています。これが私の構成です

そして私のWebApi構成

OWIN Cookie に既にアクセス トークンがあるため、API に到達する前にそれを認証ヘッダーに追加して、認証を成功させたいと考えています。

これが私が試したものです

後に配置されたOWINミドルウェアでも試してみますapp.UseWebApi(ConfigureAPI());

では、Owin Cookie のアクセス トークンに基づいて Web API のトークン認証を行うにはどうすればよいでしょうか。

前もって感謝します。

標準の OAuth2 API を使用して、クライアント、リソース オーナー サーバー、認可サーバーが相互に通信する環境をセットアップする必要があります。

これらは私の要件です：

1. OAuth2 フレームワークの使用。
2. クライアント、リソース所有者、認可サーバー間の TLS 接続はありません。
3. セキュリティのための JWK/JWS/JWE/JWT テクノロジの使用。
4. 多数のクライアントにスケーリングする機能。

このワークフローをすでにサポートしている、利用可能な優れた戦略/オープン ソース プロジェクトはありますか?

独自のワークフローを作成する必要がある場合、適切な出発点はありますか?

私はYii2フレームワークをバックエンドとして使用しており、クライアント側には js を反応させています。HTTPBearer認証を使用して REST API を作成しようとしていますが、常に401 Unauthorized error が発生します。Yii2 Rest api 認証に従いましたが、成功しませんでした。また、user.php に findIdentityByAccessToken を、 SQL にaccess_tokenを実装しました。私のファイル:-

フォルダ構造:-

-api
    --config
      --main.php
      --main-local.php
      ...
    --modules
      --v1
       --controllers
         --CheckinsController.php

-バックエンド -共通
-フロント
エンド ..

main.php

CheckinsController.php

どんな助けでも大歓迎です!! 何日もこの問題を回避しようとしていますが、成功していません。それが私が行った単純なエラーかどうかはわかりません!!

ここで簡単なものを願っています:) APIのOAuthトークンエンドポイントがあり、すべて完全に機能していますが、トークンをデータベースに保存したいと考えています。

の.....

私は次のコードを持っています.....

この時点で発行されるベアラートークンを取得できますか? 理想的には、レガシーアプリケーションが取得できるように、これをデータベースに保存したいと考えています。トークンを保持する (可能性がある) オブジェクトに似ているすべてのオブジェクトを掘り下げると、NULL のように見えます

この質問をするのもばかげていると思いますが、私の理解の限界に達しており、誰かが何らかの背景を提供してくれることを望んでいます.

私は次のことを見ています（https://stormpath.com/blog/token-auth-for-Java/）。

access_tokenは、ブラウザが後続のリクエストで使用するものです... Authorizationヘッダーは標準ヘッダーです。OAuth2 を使用するためにカスタム ヘッダーは必要ありません。タイプが Basic ではなく、この場合のタイプはBearerです。アクセス トークンはBearer キーワードの直後に含まれます。

私は Web サイトを構築中です。そのために、バックエンド REST サービスとフロントエンド ブラウザー クライアントの両方をコーディングします。このような状況下で、上記のガイドラインに従う必要があるのはなぜですか? access_token、Authorization、および Bearerキーワードを使用する代わりに、好きなキーワードを使用したり、ヘッダーでBearerキーワードを完全にスキップしたりすることを妨げているのは何ですか? 結局のところ、フロントエンド サービスとバックエンド サービスの両方が一貫した方法でデータの読み取り/書き込みを行う限り、すべてが正常に機能するのではないでしょうか?

上記のキーワードとガイドラインは、他のユーザーがコードやサービスをよりよく理解できるようにするためのベスト プラクティスの提案にすぎませんか? それらはコーディングスタイルに似ていますか? または、上記のガイドラインに従わないと機能に影響がありますか?

Authorization ヘッダーに「Bearer」を使用する場合、Authorization ヘッダーで他のパラメーター/値も送信できますか?

Just bearer は次のようになります (12345 はトークンです)

認可: Bearer 12345

しかし、他の認証情報も渡すことができますか?

承認: Bearer 12345、Other=6789