由于我们的应用程序的性质,我们可以让用户通过大量的auth提供程序进入,其中一些使用OAuth 1.0(特别是
LTI).每当我们不识别登录然后不得不在以后处理复杂的身份合并时,我们不想总是创建一个新的用户帐户,而是希望邀请显然是新用户通过OpenID识别自己(谷歌和微软主要是因为这涵盖了我们的大多数用户.)我们可以问他们他们的U / P,除非我们不做U / P – 我们总是倾向于只支持通过第三方身份提供商登录,并且真的不想改变它.
因此,情况是我们的自定义身份验证方案(LTI / OAuth1.0)收到第三方声明,确定这些声明对我们的系统是新的,然后将质询转发到我们的默认身份验证方案.一旦完成该方案(成功的auth或用户拒绝(即NoResult)),我们理想地返回到原始方案以完成使用提供的声明创建新用户或向现有用户添加额外登录.完成所有这些操作后,将返回最终的AuthenticationTicket,并且请求将在进行身份验证后正常进行.
我可能会想到这一切都是错的,如果是这样的话,我很乐意接受更好的指导.但基本的业务要求是,我不希望在为传入的个人提供通过其他登录方法将自己标识为现有用户的机会之前创建新用户.
目标环境是ASP.NET Core 2.0或2.1.
解决方法
ASP.NET核心文件 – >当您选择从第三方提供商登录时,新项目模板(当您选择第三方认证时)会执行类似的操作.它将第三方声明存储在cookie中(已签名)并将您转至注册页面.提交表单后,它会从此cookie中获取声明以及注册详细信息,在数据库中创建用户,核实此临时cookie,并发出其他所有内容的真实身份验证cookie.为了减轻重放攻击,我认为这个中间cookie只是一个会话cookie,并在短时间后过期–5分钟.你肯定是在正确的轨道上.
版权声明:本文内容由互联网用户自发贡献,该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 dio@foxmail.com 举报,一经查实,本站将立刻删除。