一、课程介绍明人不说暗话,跟着阿笨一起玩WebApi！开发提供数据的WebApi服务，最重要的是数据的安全性。那么对于我们来说，如何确保数据的安全将是我们需要思考的问题。为了保护我们的WebApi数据接口不被他人非法调用，我们采用身份认证机制，常用的身份认证方式用Https基本认证（结合SSL证书），在ASP.NET WebService服务中可以通过SoapHead验证机制来实现，那么在ASP.NET WebApi中我们应该如何保证我们的接口安全呢？在上此分享课...
// 添加Swaggerservices.AddSwaggerGen(c =>{//接口文档名称c.SwaggerDoc("v1", new OpenApiInfo { Title = "百川新成WEB API", Version = "v1" });// 获取xml文件名var xmlFile = $"{Assembly.GetExecutingAssembly().GetName().Name}.xml";// 获取xml文件路径var xmlPath = Path.Combine(AppContext.BaseDirectory, xmlFile);// 添加控制器层注释，true表示显示控制器注释c.IncludeXmlComments(xmlPath, true);//添加Authorizati...
本人的公众号要申请成为开发者，必须经过token认证。微信公众号的官方代码只列出了PHP代码的实例，明显是歧视.net用户。我用的asp.net mvc中的web api，结果调了好久都没有成功，最后发现只要下面几句即可：publicvoid Get() {string temp = HttpContext.Current.Request.QueryString["echostr"];HttpContext.Current.Response.Write(temp);HttpContext.Current.Response.End(); } 原文：http://www.cnblogs.com/HelpQY/p/4098182....
原文地址 ：https://www.blinkingcaret.com/2018/05/30/refresh-tokens-in-asp-net-core-web-api/先申明，本人英语太菜，每次看都要用翻译软件对着看，太痛苦了，所以才翻译的这篇博客，英语好的自己去看，以下为正文 当使用访问令牌来保护web api时，首先想到的是令牌过期时该怎么办?您是否再次要求用户提供凭证?这并不是一个好的选择。这篇博客文章是关于使用refresh令牌来解决这个问题的。特别是在 ASP.NET Core Web Apis 中使用...
在 ASP.NET Core Web API 集成测试一文中, 我介绍了ASP.NET Core Web API的集成测试. 在那里我使用了测试专用的Startup类, 里面的配置和开发时有一些区别, 例如里面去掉了用户身份验证相关的中间件.但是有些被测试的行为里面需要用到身份/授权信息.所以本文就介绍一下在API集成测试中发送请求时使用Bearer Token作为Authorization Header的情况. 集成测试中使用Bearer Token我这个项目里生产时使用的是Identity Server 4, 而进行集...
ASP.NET Core Data Protection 不仅提供了非对称加密能力，而且提供了灵活的秘钥存储方式以及一致的加解密接口（Protect与Unprotect）。Session中用到了它，Cookie验证中用到了它，OpenIdConnect中也用到了它。。。当然你也可以在应用开发中使用它，比如这篇博文中就是用它生成激活帐户的验证token。 首先在 Startup.ConfigureServices() 中注册 DataProtection 服务（注入 IDataProtectionProvider 接口的实现）： public void Co...
Angular2是对Angular1的一次彻底的，破坏性的更新。 相对于Angular1.x，借用某果的广告语，唯一的不同，就是处处都不同。?首先，推荐的语言已经不再是Javascript，取而代之的TypeScript，(TypeScript = ES6 + 类型系统 + 类型注解), TypeScriipt的类型系统对于开发复杂的单页Web app大有帮助，同时编译成javascript后的执行效率也比大多数手写javascript要快。有兴趣的同学可以查阅官方文档：英文传送门 |中文传送门。?得益于彻底重...
令牌认证（Token Authentication）已经成为单页应用（SPA）和移动应用事实上的标准。即使是传统的B/S应用也能利用其优点。优点很明白：极少的服务端数据管理、可扩展性、可以使用单独的认证服务器和应用服务器分离。 如果你对令牌（token）不是太了解，可以看这篇文章（ overview of token authentication and JWTs） 令牌认证在asp.net core中集成。其中包括保护Bearer Jwt的路由功能，但是移除了生成token和验证token的部分，这些...
以前在web端的身份认证都是基于Cookie | Session的身份认证, 在没有更多的终端出现之前，这样做也没有什么问题，但在Web API时代，你所需要面对的就不止是浏览器了，还有各种客户端，这样就有了一个问题，这些客户端是不知道cookie是什么鬼的。 (cookie其实是浏览器搞出来的小猫腻，用来保持会话的，但HTTP本身是无状态的, 各种客户端能提供的无非也就是HTTP操作的API) 而基于Token的身份认证就是应对这种变化而生的，它更开放，安...
MVC中的Html.AntiForgeryToken()是用来防止跨站请求伪造(CSRF:Cross-site request forgery)攻击的一个措施,它跟XSS(XSS又叫CSS:Cross-Site-Script),攻击不同,XSS一般是利用站内信任的用户在网站内插入恶意的脚本代码进行攻击，而CSRF则是伪造成受信任用户对网站进行攻击。 举个简单例子，譬如整个系统的公告在网站首页显示，而这个公告是从后台提交的，我用最简单的写法： 网站后台(Home/Index页面)设置首页公告内容，提交到...
‘=‘).Replace(‘+‘, ‘-‘).Replace(‘/‘, ‘_‘);access token 的默认解密方法是：1) System.Security.Cryptography.DpapiDataProtector.Unprotect()2) Pad(text.Replace(‘-‘, ‘+‘).Replace(‘_‘, ‘/‘));3) Convert.FromBase64String()Pad 方法的实现代码如下：private static string Pad(string text) {var padding = 3 - ((text.Length + 3) % 4);if (padding == 0){return text;}return text + new string(‘=‘, p...
如果一个Controller.Action里的处理非常耗时，比如读数据库、文件操作、调用第三方接口等此时用户随时可能关闭浏览器、F5刷新网页等操作。但是服务端的耗时代码任然在执行，这太浪费了，既然用户终止请求了，我们就应该取消所有的耗时操作 在.net开发中，几乎所有的异步方法都有个CancellationToken类型的参数，只要我们传入此令牌，将来我们随时可以通过此令牌取消异步操作而asp.net中HttpContext提供了一个RequestAborted属性，它...
来源： https://www.c-sharpcorner.com/article/handle-refresh-token-using-asp-net-core-2-0-and-json-web-token/ In this article , you will learn how to deal with the refresh token when you use jwt (JSON Web Token) as your access_token. Backgroud Many people choose jwt as their access_token when the client sends a request to the Resource Server. However, before the client sends a request to the ...
原文地址 ：https://www.blinkingcaret.com/2018/05/30/refresh-tokens-in-asp-net-core-web-api/ 先申明，本人英语太菜，每次看都要用翻译软件对着看，太痛苦了，所以才翻译的这篇博客，英语好的自己去看，以下为正文 当使用访问令牌来保护web api时，首先想到的是令牌过期时该怎么办? 您是否再次要求用户提供凭证?这并不是一个好的选择。 这篇博客文章是关于使用refresh令牌来解决这个问题的。特别是在 ASP.NET Core Web Apis ...
原文:ASP.NET Core Web Api之JWT刷新Token(三)前言 如题，本节我们进入JWT最后一节内容，JWT本质上就是从身份认证服务器获取访问令牌，继而对于用户后续可访问受保护资源，但是关键问题是：访问令牌的生命周期到底设置成多久呢？见过一些使用JWT的童鞋会将JWT过期时间设置成很长，有的几个小时，有的一天，有的甚至一个月，这么做当然存在问题，如果被恶意获得访问令牌，那么可在整个生命周期中使用访问令牌，也就是说存在冒充用户...