如何在已配置OAuth的ASP.NET Web API中添加Basic Authentication支持？

嘿，这个需求我之前碰到过好几次，其实实现起来并不复杂——咱们要做的就是让同一个API端点同时兼容OAuth和Basic两种认证方式，具体可以分步骤来搞：

1. 注册Basic Authentication认证方案 #

首先得根据你的Web API版本（.NET Core/Framework）来配置Basic认证的逻辑：

如果你用的是.NET Core Web API #

先安装NuGet包 Microsoft.AspNetCore.Authentication.Basic，然后在Program.cs里注册Basic和已有的OAuth方案：

builder.Services.AddAuthentication()
    // 保留你已有的OAuth配置，不用改动
    .AddOAuth("OAuth", options =>
    {
        options.ClientId = "your-client-id";
        options.ClientSecret = "your-client-secret";
        options.TokenEndpoint = "https://your-oauth-server/token";
        // 其他OAuth相关配置...
    })
    // 添加Basic认证方案
    .AddBasic("Basic", options =>
    {
        options.Events = new BasicAuthenticationEvents
        {
            OnValidateCredentials = async context =>
            {
                // 这里写你的用户名密码验证逻辑，比如从数据库查询用户
                var username = context.UserName;
                var password = context.Password;

                // 示例：替换成你实际的用户验证逻辑
                var isValidUser = await ValidateUserCredentials(username, password);
                
                if (isValidUser)
                {
                    // 生成用户身份凭证
                    var claims = new[]
                    {
                        new Claim(ClaimTypes.Name, username),
                        new Claim(ClaimTypes.Role, "User")
                    };
                    context.Principal = new ClaimsPrincipal(new ClaimsIdentity(claims, context.Scheme.Name));
                    context.Success();
                }
                else
                {
                    context.Fail("Invalid username or password");
                }
            }
        };
    });

// 别忘了添加授权中间件，顺序很重要！
app.UseAuthentication();
app.UseAuthorization();

如果你用的是传统ASP.NET Web API（Framework） #

需要自定义一个Basic认证过滤器，比如：

public class BasicAuthenticationFilter : AuthorizationFilterAttribute
{
    public override void OnAuthorization(HttpActionContext actionContext)
    {
        var authHeader = actionContext.Request.Headers.Authorization;
        
        // 如果请求头已经有Bearer Token（OAuth），就跳过Basic验证，交给OAuth处理
        if (authHeader != null && authHeader.Scheme.Equals("Bearer", StringComparison.OrdinalIgnoreCase))
        {
            return;
        }

        // 处理Basic认证逻辑
        if (authHeader == null || !authHeader.Scheme.Equals("Basic", StringComparison.OrdinalIgnoreCase))
        {
            actionContext.Response = actionContext.Request.CreateResponse(HttpStatusCode.Unauthorized);
            return;
        }

        // 解码用户名密码
        string encodedCredentials = authHeader.Parameter;
        string decodedCredentials = Encoding.UTF8.GetString(Convert.FromBase64String(encodedCredentials));
        string[] credentials = decodedCredentials.Split(':');
        string username = credentials[0];
        string password = credentials[1];

        // 验证用户
        if (ValidateUser(username, password))
        {
            var identity = new ClaimsIdentity(new[] { new Claim(ClaimTypes.Name, username) }, "Basic");
            actionContext.RequestContext.Principal = new ClaimsPrincipal(identity);
        }
        else
        {
            actionContext.Response = actionContext.Request.CreateResponse(HttpStatusCode.Unauthorized);
        }
    }

    private bool ValidateUser(string username, string password)
    {
        // 替换成你实际的用户验证逻辑，比如从数据库查询
        return username == "valid-user" && password == "valid-pass";
    }
}

2. 让API端点支持多种认证方式 #

现在要让你的控制器/Action同时接受两种认证方案：

.NET Core场景 #

在控制器或Action上用[Authorize]属性指定允许的认证方案：

[ApiController]
[Route("api/[controller]")]
// 同时允许OAuth和Basic两种认证方案
[Authorize(AuthenticationSchemes = "OAuth,Basic")]
public class YourController : ControllerBase
{
    [HttpGet("data")]
    public IActionResult GetData()
    {
        return Ok("Authenticated successfully via either OAuth or Basic!");
    }
}

传统ASP.NET Web API场景 #

把自定义的Basic过滤器和原有的OAuth授权属性一起加到控制器上：

// 保留原有的OAuth授权，同时添加Basic认证过滤器
[Authorize]
[BasicAuthenticationFilter]
public class YourController : ApiController
{
    public IHttpActionResult GetData()
    {
        return Ok("Authenticated successfully via either OAuth or Basic!");
    }
}

3. 测试验证 #

• OAuth测试：请求头带上 Authorization: Bearer {你的OAuth令牌}，发送请求应该能正常返回数据。
• Basic测试：把用户名密码用Base64编码（比如username:password编码后），请求头带上 Authorization: Basic {编码后的字符串}，发送请求也应该能正常访问。

• 一定要用HTTPS传输Basic认证的凭据，否则用户名密码会明文暴露，存在严重安全风险。
• .NET Core项目中，app.UseAuthentication()必须放在app.UseAuthorization()之前，否则认证逻辑不会生效。
• 可以根据业务需求，给不同的端点设置不同的认证方案组合，不是所有端点都必须同时支持两种。

内容的提问来源于stack exchange，提问作者Ajith