如何使用证书而不是密码进行身份验证？

我正在构建一个小型 C# MVC5 应用程序，并准备向其中添加用户安全模块。 （之前我只是创建了一个会话变量来测试角色）但是，我的安全需求不适合我见过的任何预构建的安全模块，即 SimpleMembership 等。

总结一下我的情况和需求：

• 没有密码——用户名/密码身份验证是not allowed

• 用户使用带有客户端证书的智能卡在 Web 服务器级别进行身份验证 - 我不管理服务器，也永远不会看到他们的卡

• IIS 填充 Request.ClientCertificate 和其他一些内容，这是我有权访问的所有内容

• 我的应用程序将有专用的用户帐户 - 不使用 Windows 身份验证等 - 所以更像是用户名/密码系统，无需输入用户名或密码

• The server正在验证他们的访问权限server通过使用某种形式的 Windows 身份验证及其智能卡证书，但我不能，我只需要接受加载到请求集合中的证书

• 用户表存储在 SQL Server 中（目前...）

• 不想使用 EntityFramework，因为所有应用程序数据都来自 Oracle 数据库，并试图获得批准将身份验证/授权表移入其中并消除来自两个数据库的工作，并且 EF for Oracle 不适用于我们的环境，所以我' m 使用 OleDb 代替:(

实施这样的计划的最佳方法是什么？我开始做的是构建三个表——Users、Roles 和 UserRoles——并且 Users 表保存（字符串）ClientCertificate 的副本。进来的用户将通过拉取 Request.ClientCertificate 并查找匹配的用户记录，然后从 UserRoles 获取角色列表来对应用程序进行身份验证。用户对象将存储在包含用户和角色信息的会话中，并且将在控制器上使用属性来通过要求某些角色来控制访问。

（我们有另一个应用程序使用这种基本方法，但它是 Linux 上的 J2EE，所以我不能只重用它的代码）

然而，我也开始阅读有关 IIdentity 和 IPrincipal 的内容，但我不是 100% 清楚这是否是我可以使用的东西。显然我更喜欢使用专家设计的安全模型。那么我应该使用继承自 IIdentity 和 IPrincipal 的自定义类来构建我的身份验证系统吗？或者我应该使用其他方法吗？

完全有可能可以定制像 SimpleMembership 这样的东西来满足我的需求，但如果是这样，我不知道。

感谢您的建议，非常感谢。

你可以使用微软的身份对于这种高级场景也是如此。身份如此模块化，您可以将任何数据存储与您想要的任何模式一起使用。 Identity 中的身份验证密码不是必需的，您可以实现自己的场景。考虑这个简单的例子：

// imaging this action is called after user authorized by remote server
public ActionResoult Login()
{
    // imaging this method gets authorized certificate string 
    // from Request.ClientCertificate or even a remote server
    var userCer=_certificateManager.GetCertificateString();

    // you have own user manager which returns user by certificate string
    var user=_myUserManager.GetUserByCertificate(userCer);

    if(user!=null)         
    {
        // user is valid, going to authenticate user for my App
        var ident = new ClaimsIdentity(
            new[] 
            {
                // since userCer is unique for each user we could easily
                // use it as a claim. If not use user table ID 
                new Claim("Certificate", userCer),

                // adding following 2 claim just for supporting default antiforgery provider
                new Claim(ClaimTypes.NameIdentifier, userCer),
                new Claim("http://schemas.microsoft.com/accesscontrolservice/2010/07/claims/identityprovider", "ASP.NET Identity", "http://www.w3.org/2001/XMLSchema#string"),

                // an optional claim you could omit this 
                new Claim(ClaimTypes.Name, user.Name),

                // populate assigned user's role form your DB 
                // and add each one as a claim  
                new Claim(ClaimTypes.Role, user.Roles[0].Name),
                new Claim(ClaimTypes.Role, user.Roles[1].Name),
                // and so on
            },
            DefaultAuthenticationTypes.ApplicationCookie);

        // Identity is sign in user based on claim don't matter 
        // how you generated it Identity take care of it
        HttpContext.GetOwinContext().Authentication.SignIn(
            new AuthenticationProperties { IsPersistent = false }, ident);

        // auth is succeed, without needing any password just claim based 
        return RedirectToAction("MyAction"); 
    }
    // invalid certificate  
    ModelState.AddModelError("", "We could not authorize you :(");
    return View();
}

正如您所看到的，我们授权用户和填充的角色，而不依赖于用户名、密码和任何数据存储，因为我们使用了自己的用户管理器。

一些用法示例：

[Authorize]
public ActionResult Foo()
{
}

// since we injected user roles to Identity we could do this as well
[Authorize(Roles="admin")]
public ActionResult Foo()
{
    // since we injected our authentication mechanism to Identity pipeline 
    // we have access current user principal by calling also
    // HttpContext.User
}

这是一个简单的示例，您可以实现自定义场景扩展IIdenity以及。阅读我的其他类似答案，例如this and this有关更多示例，了解如何通过以下方式完成几乎所有操作Claims.

您也可以浏览和下载基于令牌的身份验证示例repo 作为一个简单的工作示例。