OAuth自定义同意屏实现：C# MVC项目OAuth集成与数据库访问问询

嘿，我来帮你梳理下这个实现方案，结合你已经搞定的OAuth 2.0流程，咱们一步步把网站认证和数据库访问的衔接给打通：

整体思路很清晰：网站作为客户端，通过你的API获取OAuth令牌后，携带令牌调用API的受保护业务接口；API验证令牌有效性后，直接调用领域项目里的Code-First EF上下文，完成数据库的读写操作。下面是具体的分步实现细节：

1. 先打通API与领域项目的依赖链路 #

首先得让API能直接使用领域项目的EF资源：

• 在API项目里添加对领域项目的项目引用，这样API就能访问到领域项目中的DbContext、实体类等核心组件。
• 把领域项目的数据库连接字符串复制到API项目的web.config里（如果名称一致可以直接复用），因为Code-First的DbContext会读取这个配置来建立数据库连接。

2. 给API的业务接口加上OAuth保护 #

你已经实现了令牌的获取和刷新流程，现在需要把实际的业务接口标记为需要授权访问：

• 在API的控制器类或具体Action上添加[Authorize]特性，这样只有携带有效访问令牌的请求才能进入这些接口。如果需要角色控制，还可以指定[Authorize(Roles = "Admin")]这类更细的规则。

举个简单的业务接口示例：

[Authorize]
public class UserApiController : ApiController
{
    // 推荐用构造函数注入DbContext，避免直接new导致的并发问题
    private readonly DomainDbContext _dbContext;

    public UserApiController(DomainDbContext dbContext)
    {
        _dbContext = dbContext;
    }

    // 获取当前登录用户的数据库信息
    public IHttpActionResult GetMyProfile()
    {
        // 从OAuth令牌中提取当前用户的ID（需要引用Microsoft.AspNet.Identity.Owin）
        var currentUserId = User.Identity.GetUserId();
        var userProfile = _dbContext.UserProfiles.FirstOrDefault(u => u.Id == currentUserId);
        
        if (userProfile == null)
        {
            return NotFound();
        }
        return Ok(userProfile);
    }
}

3. 网站端的认证与API调用流程 #

网站需要完成“登录拿令牌→存令牌→带令牌调用API→过期自动刷新令牌”的完整流程：

• 网站提供登录页面，用户提交账号密码后，向API的令牌端点（比如/token）发送POST请求，拿到访问令牌和刷新令牌。
• 把令牌存在安全的地方：如果是传统MVC网站，推荐用HttpOnly、Secure的Cookie存储，防止XSS攻击；如果是SPA，可以用localStorage但要注意安全风险。
• 每次调用API的受保护接口时，在请求头里带上Authorization: Bearer {你的访问令牌}。
• 当API返回401 Unauthorized时，自动用刷新令牌调用API的刷新端点，获取新的访问令牌，再重新发起请求。

给你个MVC网站控制器里调用API的示例：

public async Task<ActionResult> MyProfile()
{
    // 从Cookie取访问令牌
    var accessToken = Request.Cookies["SiteAccessToken"]?.Value;
    if (string.IsNullOrEmpty(accessToken))
    {
        return RedirectToAction("Login");
    }

    using (var apiClient = new HttpClient())
    {
        // 设置授权头
        apiClient.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", accessToken);
        
        var response = await apiClient.GetAsync("http://your-api-domain/api/userapi/getmyprofile");
        
        // 令牌过期，尝试刷新
        if (response.StatusCode == HttpStatusCode.Unauthorized)
        {
            var refreshToken = Request.Cookies["SiteRefreshToken"]?.Value;
            var refreshParams = new FormUrlEncodedContent(new Dictionary<string, string>
            {
                {"grant_type", "refresh_token"},
                {"refresh_token", refreshToken}
            });
            
            var refreshResponse = await apiClient.PostAsync("http://your-api-domain/token", refreshParams);
            if (refreshResponse.IsSuccessStatusCode)
            {
                var newTokens = await refreshResponse.Content.ReadAsAsync<TokenModel>();
                // 更新Cookie里的令牌
                Response.Cookies["SiteAccessToken"].Value = newTokens.AccessToken;
                Response.Cookies["SiteRefreshToken"].Value = newTokens.RefreshToken;
                
                // 重新调用接口
                response = await apiClient.GetAsync("http://your-api-domain/api/userapi/getmyprofile");
            }
            else
            {
                // 刷新失败，跳回登录页
                return RedirectToAction("Login");
            }
        }

        if (response.IsSuccessStatusCode)
        {
            var userProfile = await response.Content.ReadAsAsync<UserProfile>();
            return View(userProfile);
        }
        return View("Error");
    }
}

4. 可选但推荐：领域项目的细粒度权限控制 #

如果需要控制用户对数据库数据的访问范围，可以在领域项目里加一层逻辑：

• 比如给实体类添加CreatedById、UpdatedById字段，然后在DbContext的SaveChanges方法里自动填充当前用户ID。
• 或者在查询数据时，自动过滤出当前用户有权限访问的数据。

示例（领域项目的DbContext）：

public override int SaveChanges()
{
    // 从API的上下文获取当前用户ID
    var currentUserId = System.Web.HttpContext.Current?.User.Identity.GetUserId();
    
    foreach (var entry in ChangeTracker.Entries<IAuditableEntity>())
    {
        switch (entry.State)
        {
            case EntityState.Added:
                entry.Entity.CreatedById = currentUserId;
                entry.Entity.CreatedDate = DateTime.UtcNow;
                break;
            case EntityState.Modified:
                entry.Entity.UpdatedById = currentUserId;
                entry.Entity.UpdatedDate = DateTime.UtcNow;
                break;
        }
    }
    return base.SaveChanges();
}

几个关键注意点 #

• 确保OAuth令牌里包含足够的用户标识（比如用户ID），这样API才能准确识别当前用户，进而在领域项目中做对应的数据库操作。
• 访问令牌设置较短的过期时间（比如15分钟），刷新令牌用更长的有效期，同时存储在安全的位置（HttpOnly Cookie）。
• 如果用依赖注入（比如Autofac、Unity），在API项目里注册领域项目的DbContext，设置为每个请求一个实例，避免并发问题。

内容的提问来源于stack exchange，提问作者IvNen