如何为私有NuGet包服务器启用ASP.NET Identity登录验证？

1. 整合ASP.NET Identity到NuGet服务器项目 #

直接复用你现有MVC网站的用户体系最省心：

• 给NuGet服务器项目安装必要的Identity包：

  Install-Package Microsoft.AspNet.Identity.Mvc
  Install-Package Microsoft.AspNet.Identity.EntityFramework
  

• 把现有MVC网站里的ApplicationUser、ApplicationDbContext等Identity实体类复制到NuGet服务器项目，或者做成类库直接引用，确保两个项目共用同一个用户数据库。
• 修改NuGet服务器项目的web.config，将连接字符串替换为你MVC网站使用的Identity数据库连接串。

2. 配置身份验证中间件 #

如果你的NuGet服务器基于OWIN，在Startup.cs中添加身份验证配置：

using Microsoft.Owin;
using Owin;
using Microsoft.AspNet.Identity;
using Microsoft.AspNet.Identity.EntityFramework;

[assembly: OwinStartup(typeof(NuGetServer.Startup))]
namespace NuGetServer
{
    public class Startup
    {
        public void Configuration(IAppBuilder app)
        {
            // 绑定Identity上下文和用户管理器
            app.CreatePerOwinContext(ApplicationDbContext.Create);
            app.CreatePerOwinContext<ApplicationUserManager>(ApplicationUserManager.Create);

            // 启用Cookie身份验证，未登录时自动跳转至登录页
            app.UseCookieAuthentication(new Microsoft.Owin.Security.Cookies.CookieAuthenticationOptions
            {
                AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
                LoginPath = new PathString("/Account/Login"),
                Provider = new Microsoft.Owin.Security.Cookies.CookieAuthenticationProvider
                {
                    OnValidateIdentity = SecurityStampValidator.OnValidateIdentity<ApplicationUserManager, ApplicationUser>(
                        validateInterval: TimeSpan.FromMinutes(30),
                        regenerateIdentity: (manager, user) => user.GenerateUserIdentityAsync(manager))
                }
            });
        }
    }
}

如果是传统Global.asax项目，可在Application_Start方法中添加类似的身份验证初始化逻辑。

3. 给NuGet核心接口添加授权限制 #

NuGet服务器的核心操作都在/nuget路径下，需强制仅登录用户可访问：

• 找到NuGet服务器的核心控制器（比如NuGetODataController），给控制器类加上[Authorize]特性：

  [Authorize]
  public class NuGetODataController : ODataController
  {
      // 原有控制器方法保持不变
  }
  

• 也可以直接在web.config中配置URL授权规则，无需修改代码：

  <location path="nuget">
      <system.web>
          <authorization>
              <deny users="?" /> <!-- 拒绝匿名访问 -->
              <allow users="*" /> <!-- 允许所有已登录用户 -->
          </authorization>
      </system.web>
  </location>
  

4. 适配NuGet客户端的身份验证 #

NuGet客户端需要携带登录后的Cookie才能正常操作：

• Visual Studio：先在浏览器打开私有NuGet服务器的登录页完成登录，Visual Studio会自动复用浏览器保存的Cookie；或者添加私有源时，在凭据设置中选择对应验证方式。
• dotnet CLI/nuget.exe：先在浏览器登录获取.AspNet.ApplicationCookie的值，然后在推送/拉取命令中携带Cookie：

  dotnet nuget push YourPackage.nupkg --source "私有NuGet源名称" --cookie ".AspNet.ApplicationCookie=你的Cookie值"
  

5. 验证配置效果 #

• 匿名访问http://你的服务器地址/nuget，应自动跳转至登录页面。
• 登录后可正常浏览包列表、推送新包、拉取包。
• 客户端工具不带Cookie操作时，会返回401未授权错误，说明验证规则生效。

内容的提问来源于stack exchange，提问作者abenci