Nom d'utilisateur externe fourni comme identité?

Question

J'ai quelques systèmes qui utilise l'authentification externe, l'authentification google. Je ne fais que garder les informations de connexion dans une variable de session et garder une trace de l'utilisateur de cette façon (pas de fournisseur d'adhésion).

Je voudrais avoir l'identité de l'utilisateur dans l'objet HttpContext.Current.User. Devrais-je affecter l'utilisateur manuellement à un événement dans Global.asax.cs ou l'identifier automatiquement pendant la session?

Answer 1

Utilisez un fournisseur d'adhésion, il vous donnera exactement ce que vous voulez. Même créer votre propre fournisseur n'est pas trop difficile, il suffit d'implémenter la classe abstraite MembershipProvider et de la brancher sur config, ou d'utiliser certains des fournisseurs prêts à l'emploi. Ne pas rouler votre propre solution pour quelque chose de critique comme la sécurité, il aura des failles de sécurité béantes. Le stockage des informations d'authentification dans la session est une très mauvaise idée. Il laisse ouvert le détournement de session, les attaques de relecture de session, etc.

Si vous voulez vraiment suivre la route de l'authentification personnalisée. Ensuite, jetez un oeil sur le code que j'ai posté here. Il vous montrera comment vous pouvez prendre le contrôle du cookie d'authentification et l'utiliserez pour créer votre propre instance HttpContext.Current.User.

Answer 2

Vous pouvez écrire un attribut personnalisé qui Autorisez prendra soin d'attribuer la propriété HttpContext.Current.User de la session:

public class MyAuthorizeAttribute : AuthorizeAttribute 
{ 
    protected override bool AuthorizeCore(HttpContextBase httpContext) 
    { 
     var user = httpContext.Session["username"] as string; 
     if (string.IsNullOrEmpty(user)) 
     { 
      // we don't have any username inside the session => unauthorized access 
      return false; 
     } 

     // we have a username inside the session => assign the User property 
     // so that it could be accessed from anywhere 
     var identity = new GenericIdentity(user); 
     httpContext.User = new GenericPrincipal(identity, null); 
     return true; 
    } 
} 

décoreront ensuite simplement vos contrôleurs/actions qui nécessitent une authentification avec cet attribut personnalisé.