多.NET应用共享Web API 2.0 Owin授权方案求助

我来帮你梳理下可行的解决方案，针对你的场景分两种情况讨论：

方案一：直接复用父应用的认证票据（无需独立服务） #

你之前尝试的相同machineKey思路方向是对的，但只配置machineKey还不够，因为Owin认证中间件的其他关键参数也得和父应用完全对齐，这样子应用才能正确解析父应用生成的认证Cookie。具体步骤如下：

1. 确保两个应用的machineKey完全一致
   在父、子应用的web.config中添加完全相同的machineKey配置（注意替换成你自己的密钥）：

   <system.web>
     <machineKey validationKey="YOUR_VALIDATION_KEY_HERE" 
                 decryptionKey="YOUR_DECRYPTION_KEY_HERE" 
                 validation="SHA1" 
                 decryption="AES" />
   </system.web>
   

2. 子应用配置与父应用一致的Owin认证中间件
   在子应用的Startup.cs中，复制父应用的CookieAuthenticationOptions配置，确保以下关键参数完全匹配：

   public void Configuration(IAppBuilder app)
   {
       app.UseCookieAuthentication(new CookieAuthenticationOptions
       {
           AuthenticationType = "ApplicationCookie", // 必须和父应用的认证类型一模一样
           CookieName = ".AspNet.ApplicationCookie", // 必须和父应用的Cookie名称一致
           CookieDomain = ".yourdomain.com", // 重点！如果两个应用在同一域名的不同子站点（比如app1.yourdomain.com和app2.yourdomain.com），设置根域名实现Cookie共享
           CookieHttpOnly = true,
           CookieSecure = CookieSecureOption.SameAsRequest,
           // 如果子应用没有登录页，可以把LoginPath指向父应用的登录地址
           LoginPath = new PathString("http://parent-app-domain/Account/Login")
       });
   
       app.UseWebApi(GlobalConfiguration.Configuration);
   }
   

   注意：这个方案仅适用于同域名或子域名下的应用，如果两个应用完全不在同一域名下，Cookie无法跨域共享，就得用下面的方案。

方案二：搭建独立统一认证服务（OAuth2/OpenID Connect） #

如果跨域名或者想做更标准的统一认证，搭建独立的认证服务是更合适的选择。对于.NET Framework的WebAPI 2应用，推荐用IdentityServer3（因为IdentityServer4主要针对.NET Core）来实现，步骤如下：

1. 创建独立的认证服务应用 #

• 新建一个.NET Framework的Web应用（MVC或WebAPI都可以），安装NuGet包：Install-Package IdentityServer3
• 在Startup.cs中配置IdentityServer，定义客户端（父、子应用）、受保护的API资源、用户信息：

  public void Configuration(IAppBuilder app)
  {
      var identityServerOptions = new IdentityServerOptions
      {
          SiteName = "统一认证中心",
          // 加载用于签名Token的证书（可以用自签名证书，生产环境建议用正规CA证书）
          SigningCertificate = LoadSigningCertificate(),
          Factory = new IdentityServerServiceFactory()
              .UseInMemoryClients(GetClients())
              .UseInMemoryScopes(GetApiScopes())
              .UseInMemoryUsers(GetUsers()) // 或者集成父应用的用户数据库，不用重复维护
      };
  
      app.UseIdentityServer(identityServerOptions);
  }
  
  // 定义父、子应用作为认证服务的客户端
  private IEnumerable<Client> GetClients()
  {
      return new List<Client>
      {
          new Client
          {
              ClientId = "parent-app-client",
              ClientSecrets = new List<Secret> { new Secret("parent-app-secret".Sha256()) },
              AllowedGrantTypes = GrantTypes.ResourceOwnerPasswordAndClientCredentials,
              AllowedScopes = new List<string> { "shared-api-resource" }
          },
          new Client
          {
              ClientId = "child-app-client",
              ClientSecrets = new List<Secret> { new Secret("child-app-secret".Sha256()) },
              AllowedGrantTypes = GrantTypes.ResourceOwnerPasswordAndClientCredentials,
              AllowedScopes = new List<string> { "shared-api-resource" }
          }
      };
  }
  
  // 定义要保护的API资源
  private IEnumerable<Scope> GetApiScopes()
  {
      return new List<Scope>
      {
          new Scope
          {
              Name = "shared-api-resource",
              DisplayName = "共享API资源",
              Type = ScopeType.Resource
          }
      };
  }
  
  // 示例用户，实际可以从父应用的数据库读取
  private IEnumerable<InMemoryUser> GetUsers()
  {
      return new List<InMemoryUser>
      {
          new InMemoryUser
          {
              Username = "testuser",
              Password = "testpass",
              Subject = "1"
          }
      };
  }
  
  // 加载签名证书的辅助方法
  private X509Certificate2 LoadSigningCertificate()
  {
      // 这里可以从文件、证书存储加载，示例用自签名证书
      return new X509Certificate2(Path.Combine(AppDomain.CurrentDomain.BaseDirectory, "signing-cert.pfx"), "cert-password");
  }
  

2. 改造父、子应用的认证逻辑 #

• 在父、子应用中安装NuGet包：Install-Package Microsoft.Owin.Security.Jwt
• 在各自的Startup.cs中配置JWT Bearer认证，指向独立的认证服务：

  public void Configuration(IAppBuilder app)
  {
      var authServerUrl = "http://your-auth-server-domain";
      var apiResourceName = "shared-api-resource";
      var signingKey = TextEncodings.Base64Url.Decode("your-auth-server-signing-key"); // 和认证服务的签名密钥一致
  
      app.UseJwtBearerAuthentication(new JwtBearerAuthenticationOptions
      {
          AuthenticationMode = AuthenticationMode.Active,
          TokenValidationParameters = new TokenValidationParameters
          {
              ValidIssuer = authServerUrl,
              ValidAudience = apiResourceName,
              IssuerSigningKey = new SymmetricSecurityKey(signingKey)
          },
          // 可选：自动从认证服务获取密钥（适合用非对称加密的场景）
          // MetadataAddress = $"{authServerUrl}/.well-known/openid-configuration",
          // TokenValidationParameters = new TokenValidationParameters { ValidateIssuerSigningKey = true }
      });
  
      app.UseWebApi(GlobalConfiguration.Configuration);
  }
  

3. 使用流程 #

用户在任意应用（父或子）中发起登录请求，跳转到独立认证服务完成登录，获取JWT Token；之后用这个Token调用父、子应用的WebAPI接口，两个应用都会验证Token的有效性，实现统一认证授权。

内容的提问来源于stack exchange，提问作者sandipchandanshive