.NET MVC 4.5 API如何从请求中获取客户端Credentials？

我来帮你解决这个问题！首先，你用PowerShell的WebClient设置Credentials后，客户端会自动使用Basic认证把凭据放到请求头里，所以我们只需要在服务器端解析这个请求头就能拿到用户名和密码。

第一步：在控制器中提取凭据 #

直接在你的Get方法里添加下面的代码来解析请求头：

using System;
using System.Text;
using System.Web.Http;

namespace App.Controllers 
{ 
    public IEnumerable<MyStruct> Get(int id) 
    { 
        // 提取Authorization请求头
        var authHeader = Request.Headers.Authorization;
        
        if (authHeader != null && authHeader.Scheme.Equals("Basic", StringComparison.OrdinalIgnoreCase))
        {
            // 拿到Base64编码的凭据字符串
            var encodedCredentials = authHeader.Parameter;
            // 解码Base64字符串，得到"username:password"格式的明文
            var credentialBytes = Convert.FromBase64String(encodedCredentials);
            var credentials = Encoding.ASCII.GetString(credentialBytes).Split(':');
            
            var username = credentials[0];
            var password = credentials[1];

            // 这里就可以用拿到的username和password做自定义验证了
            if (ValidateCustomCredentials(username, password))
            {
                // 验证通过，继续处理业务逻辑
                var dataList = // 你的数据获取逻辑
                return dataList;
            }
            else
            {
                // 验证失败，返回401未授权
                throw new HttpResponseException(System.Net.HttpStatusCode.Unauthorized);
            }
        }
        else
        {
            // 没有提供合法的认证信息，返回401
            throw new HttpResponseException(System.Net.HttpStatusCode.Unauthorized);
        }
    }

    // 你的自定义凭据验证方法
    private bool ValidateCustomCredentials(string username, string password)
    {
        // 这里写你的验证逻辑，比如查询数据库、调用验证服务等
        // 示例：return username == "yourUser" && password == "yourPass";
    }
}

解释一下：WebClient的Credentials默认会生成Authorization: Basic [Base64编码的用户名:密码]的请求头，我们只需要解码这个Base64字符串就能拿到原始的凭据。

关于你的思路疑问：这种认证方式是否可行？ #

你的思路本身没问题，但有几个需要注意的点：

• 安全问题：Basic认证的Base64编码是可逆的，所以必须确保你的API使用HTTPS传输，否则凭据在网络中会被轻易截获。
• 代码复用性：如果多个控制器方法都需要认证，把逻辑写在每个方法里会很冗余。建议封装成自定义的认证过滤器，像内置的[Authorize]一样使用，这样更符合MVC的设计模式。

自定义认证过滤器示例 #

可以写一个自定义的ActionFilterAttribute来统一处理认证：

using System.Web.Http.Filters;
using System.Text;
using System.Web.Http;

public class CustomAuthorizeAttribute : ActionFilterAttribute
{
    public override void OnActionExecuting(HttpActionContext actionContext)
    {
        var authHeader = actionContext.Request.Headers.Authorization;
        
        if (authHeader == null || !authHeader.Scheme.Equals("Basic", StringComparison.OrdinalIgnoreCase))
        {
            // 返回401未授权
            actionContext.Response = actionContext.Request.CreateResponse(System.Net.HttpStatusCode.Unauthorized);
            return;
        }

        // 解码凭据逻辑和之前一致
        var encodedCredentials = authHeader.Parameter;
        var credentialBytes = Convert.FromBase64String(encodedCredentials);
        var credentials = Encoding.ASCII.GetString(credentialBytes).Split(':');
        var username = credentials[0];
        var password = credentials[1];

        // 自定义验证
        if (!ValidateCustomCredentials(username, password))
        {
            actionContext.Response = actionContext.Request.CreateResponse(System.Net.HttpStatusCode.Unauthorized);
            return;
        }

        // 验证通过后，可以把用户信息存到请求属性里，方便后续方法使用
        actionContext.Request.Properties["CurrentUser"] = username;

        base.OnActionExecuting(actionContext);
    }

    private bool ValidateCustomCredentials(string username, string password)
    {
        // 你的自定义验证逻辑
    }
}

然后在控制器或者方法上添加这个特性：

[CustomAuthorize]
public IEnumerable<MyStruct> Get(int id) 
{
    // 这里直接处理业务逻辑就行，认证已经在过滤器里完成了
    var currentUser = Request.Properties["CurrentUser"] as string;
    // ...
}

这样代码会更整洁，也更容易维护。

总的来说，你的需求是可以实现的，只要注意安全和代码结构的问题就好。

内容的提问来源于stack exchange，提问作者JED