Chrome扩展对接ASP.NET Web API 2：如何结合自定义FormsAuthenticationTicket使用[Authorize]

嘿，我来帮你搞定这个问题！你已经用GetEncryptedTicket方法生成了加密的FormsAuthenticationTicket，现在要让Web API的[Authorize]特性正常工作，核心就是让Web API能正确解析请求Cookie里的票据，把它转换成可识别的用户身份。下面是一步步的实现方案：

1. 配置Web API的身份验证基础设置 #

首先要让Web API启用基于Cookie的身份验证，并对接FormsAuthentication的加密/解密逻辑。

传统Web API（非OWIN）配置 #

在WebApiConfig.cs的Register方法里添加以下配置：

public static class WebApiConfig
{
    public static void Register(HttpConfiguration config)
    {
        // 禁用默认的主机身份验证，改用我们自定义的票据解析逻辑
        config.SuppressDefaultHostAuthentication();
        // 添加主机身份验证过滤器，关联Forms身份验证类型
        config.Filters.Add(new HostAuthenticationFilter(DefaultAuthenticationTypes.ApplicationCookie));

        // 你的路由配置...
        config.MapHttpAttributeRoutes();
        config.Routes.MapHttpRoute(
            name: "DefaultApi",
            routeTemplate: "api/{controller}/{id}",
            defaults: new { id = RouteParameter.Optional }
        );
    }
}

OWIN环境下的配置 #

如果你的Web API是基于OWIN的，在Startup.cs的ConfigureAuth方法里配置Cookie验证：

public void ConfigureAuth(IAppBuilder app)
{
    app.UseCookieAuthentication(new CookieAuthenticationOptions
    {
        AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
        CookieName = FormsAuthentication.FormsCookieName, // 和你生成票据时的Cookie名称一致
        CookiePath = FormsAuthentication.FormsCookiePath, // 匹配票据生成时的路径
        // 使用MachineKey来解密票据，和FormsAuthentication.Encrypt保持一致
        TicketDataFormat = new TicketDataFormat(new MachineKeyProtector(
            DefaultAuthenticationTypes.ApplicationCookie,
            typeof(CookieAuthenticationMiddleware).Namespace,
            typeof(CookieAuthenticationOptions).Namespace
        ))
    });
}

这里的MachineKeyProtector是OWIN用来和传统FormsAuthentication兼容的解密器，确保解密逻辑和你生成票据时的FormsAuthentication.Encrypt一致。

2. 编写自定义身份验证过滤器解析票据 #

接下来需要一个过滤器，在每个请求进来时读取Cookie里的加密票据，解密后构建用户身份，这样[Authorize]特性才能识别用户是否已授权。

创建一个实现IAuthenticationFilter的类：

public class FormsTicketAuthenticationFilter : IAuthenticationFilter
{
    public bool AllowMultiple => false;

    public async Task AuthenticateAsync(HttpAuthenticationContext context, CancellationToken cancellationToken)
    {
        // 从请求头的Cookie中获取我们的票据
        var cookieCollection = context.Request.Headers.GetCookies(FormsAuthentication.FormsCookieName);
        if (!cookieCollection.Any() || !cookieCollection.First().Cookies.Any())
        {
            // 没有找到票据，返回未授权
            context.ErrorResult = new UnauthorizedResult(new AuthenticationHeaderValue[0], context.Request);
            return;
        }

        string encryptedTicket = cookieCollection.First().Cookies.First().Value;
        try
        {
            // 解密票据
            FormsAuthenticationTicket ticket = FormsAuthentication.Decrypt(encryptedTicket);
            if (ticket == null || ticket.Expired)
            {
                // 票据无效或过期
                context.ErrorResult = new UnauthorizedResult(new AuthenticationHeaderValue[0], context.Request);
                return;
            }

            // 构建ClaimsIdentity，把UserID作为用户标识
            var identity = new ClaimsIdentity(
                new[] { new Claim(ClaimTypes.NameIdentifier, ticket.UserData) },
                DefaultAuthenticationTypes.ApplicationCookie
            );
            // 可以根据需求添加更多Claim，比如用户名、角色等

            // 将身份设置到请求上下文
            context.Principal = new ClaimsPrincipal(identity);
        }
        catch (Exception)
        {
            // 解密失败（比如MachineKey不匹配），返回未授权
            context.ErrorResult = new UnauthorizedResult(new AuthenticationHeaderValue[0], context.Request);
        }
    }

    public Task ChallengeAsync(HttpAuthenticationChallengeContext context, CancellationToken cancellationToken)
    {
        // 这里可以处理授权失败后的挑战逻辑，比如返回登录提示
        return Task.CompletedTask;
    }
}

然后把这个过滤器添加到Web API的全局配置中，在WebApiConfig.cs里：

config.Filters.Add(new FormsTicketAuthenticationFilter());

3. 在API接口上使用[Authorize]特性 #

现在一切准备就绪，你可以直接在需要授权的控制器或方法上添加[Authorize]特性了：

[Authorize]
public class UserController : ApiController
{
    [HttpGet]
    public IHttpActionResult GetCurrentUser()
    {
        // 从User.Identity中获取当前用户的ID
        int userId = int.Parse(User.FindFirst(ClaimTypes.NameIdentifier).Value);
        return Ok(new { UserID = userId });
    }
}

这里我们用ClaimTypes.NameIdentifier来获取UserID，因为之前在过滤器里把票据的UserData（也就是你的UserID）添加到了这个Claim中。

4. Chrome扩展端的Cookie设置 #

登录接口返回加密票据后，你的Chrome扩展需要把这个票据设置为Cookie，这样后续请求会自动携带：

// 示例：登录请求成功后设置Cookie
async function login(username, password) {
    const response = await fetch('https://your-api-domain.com/api/account/login', {
        method: 'POST',
        headers: { 'Content-Type': 'application/json' },
        body: JSON.stringify({ username, password })
    });
    const data = await response.json();
    
    // 设置Cookie，注意要匹配Web API的Cookie路径和域名
    const cookieName = 'TICKET_NAME'; // 对应你生成票据时的"TICKET_NAME"
    const cookiePath = '/'; // 对应FormsAuthentication.FormsCookiePath的值
    document.cookie = `${cookieName}=${data.encryptedTicket}; path=${cookiePath}; domain=your-api-domain.com; secure; HttpOnly; SameSite=None`;
}

• HttpOnly：防止XSS攻击窃取Cookie
• Secure：仅在HTTPS连接下发送Cookie
• SameSite=None：如果你的Chrome扩展和Web API是跨域的，需要这个设置来允许跨域携带Cookie

关键注意事项 #

• MachineKey一致性：如果Web API部署在多台服务器上，必须在web.config中配置统一的MachineKey，否则不同服务器生成/解密的票据会不兼容。
• 跨域问题：如果Chrome扩展和Web API不在同一域名下，需要在Web API中配置CORS，允许扩展的域名访问，并且Cookie要正确设置SameSite和domain属性。
• 替代方案提示：你提到知道OAuth2更优，确实在单页应用/浏览器扩展场景下，Bearer Token（OAuth2的一种）通常比Cookie更灵活，不过既然你坚持用FormsAuthenticationTicket，上述方案完全可以满足需求。

内容的提问来源于stack exchange，提问作者Fatih