DotNetOpenAuth Part 1 : Authorization 验证服务实现及关键源码解析

DotNetOpenAuth 是 .Net 环境下OAuth 开源实现框架。基于此，可以方便的实现 OAuth 验证（Authorization）服务、资源（Resource）服务。针对 DotNetOpenAuth，近期打算整理出三篇随笔：

　　DotNetOpenAuth Part 1 : OAuth2 Authorization 验证服务实现及关键源码解析

　　DotNetOpenAuth Part 2 : OAuth2 Resource 资源服务实现及关键源码解析

　　DotNetOpenAuth Part 3 : OAuth2 Client 访问实现几关键源码解析

本篇是这一系列的 Part 1。

OAuth Authorization 服务负责为用户下发 Access Token，而后用户用这一 Token 去请求资源和逻辑访问。Client 端发送来附带 ClientId 和 ClientSecret 的 request，Authorization 端验证请求的合法性，生成 Access Token 并下发，这就是OAuth 验证服务的主要职责。

【实现层面】

基于 DotNetOpenAuth 开发 Authorization 服务的主要工作是实现 IAuthorizationServerHost 接口，而其中关键要实现的方法有两个，它们分别是 GetClient 和 CreateAccessToken。

 IClientDescription GetClient(string clientIdentifier); 

由 Client 端发送来的标示 clientIdentifier 获取该 Client 在验证服务端的详细信息，以备做 ClientSecret 比对验证。这里 ClientDescription 的来源可以是验证服务端DB，也可以是其他可提供该数据的外部服务。

 AccessTokenResult CreateAccessToken(IAccessTokenRequest accessTokenRequestMessage); 

 基于策略，生成 AccessToken，并返回给请求验证的 Client。

方法实现示意

GetClient,

public IClientDescription GetClient(string clientIdentifier)
{
    if (string.Equals(clientIdentifier, "iSun", StringComparison.CurrentCulture))
    {
        var client = new Client()       // Just initiate a Client instance, and in production it comes from DB or other service. 
        {
            Name = "iSun",
            ClientSecret = "1",
            ClientTypeValue = 1
        };

        return client;
    }

    throw new ArgumentOutOfRangeException("clientIdentifier");
}

CreateAccessToken,

public AccessTokenResult CreateAccessToken(IAccessTokenRequest accessTokenRequestMessage)
{
    var accessToken = new AuthorizationServerAccessToken();
        
    accessToken.Lifetime = TimeSpan.FromMinutes(2);
    accessToken.ResourceServerEncryptionKey = ... ...
    accessToken.AccessTokenSigningKey = ... ...

    var result = new AccessTokenResult(accessToken);
    return result;
}

实现了 IAuthorizationServerHost 接口下的两个关键方法，下面要做的仅仅是使用该 AuthorizationServerHost 实例初始化 AuthorizationServer 类，并调用其 HandleTokenRequestAsync 方法。

private readonly AuthorizationServer authorizationServer = new AuthorizationServer(new iSunAuthorizationServerHost(AuthService.Configuration));

public async Task<ActionResult> Token()
{
    var response = await authorizationServer.HandleTokenRequestAsync(Request);
    return response.AsActionResult();
}

【原理层面】

实现层面的介绍就是这些，是不是很简单？但仅知道这些显然不够，你始终还是不明 ... 但觉厉。DotNetOpenAuth Authorization 框架如何做到仅这两个方法就实现了验证服务呢？好在 DotNetOpenAuth 是开源项目，我们研究一下源码就会豁然开朗。先上一张 Authorization 内部调用的示意图（点击打开大图）。

如图所示，调用始自 AuthorizationServer.HandleTokenRequestAsync，后依次经步骤1 - 9，终于 AuthorizationServerHost.CreateAccessToken 调用。其中步骤7、8、9是整个 Token 下发过程中的关键方法调用。Step 7 GetClient 获取 request 端的详细信息，之后Step 8 IsValidClientSecret 验证 ClientSecret 合法性，若验证通过则Step 9 CreateAccessToken 并下发予请求的 Client 端。逻辑示意图如下（点击打开大图）。

关键步骤7、8、9源码片段如下：

调用 GetClient，并进行 ClientSecret Validation（DotNetOpenAuth.OAuth2.ChannelElements.ClientAuthenticationModule 中 TryAuthenticateClientBySecret 方法）。

protected static ClientAuthenticationResult TryAuthenticateClientBySecret(IAuthorizationServerHost authorizationServerHost, 
    string clientIdentifier, string clientSecret) {
    Requires.NotNull(authorizationServerHost, "authorizationServerHost");

    if (!string.IsNullOrEmpty(clientIdentifier)) {
        var client = authorizationServerHost.GetClient(clientIdentifier);       // Step 7: GetClient returns IClientDescription
        if (client != null) {
            if (!string.IsNullOrEmpty(clientSecret)) {
                if (client.IsValidClientSecret(clientSecret)) {                 // Step 8: Validate ClientSecret
                    return ClientAuthenticationResult.ClientAuthenticated;
                } else { // invalid client secret
                    return ClientAuthenticationResult.ClientAuthenticationRejected;
                }
            }
        }
    }
}

ClientDescription.IsValidClientSecret 方法（DotNetOpenAuth.OAuth2.ClientDescription 中 IsValidClientSecret 方法）。

public virtual bool IsValidClientSecret(string secret) {
    Requires.NotNullOrEmpty(secret, "secret");

    return MessagingUtilities.EqualsConstantTime(secret, this.secret);
}

调用 CreateAccessToken 代码片段，若 Client 验证未通过，则返回 InvalidRequest（line 23）（DotNetOpenAuth.OAuth2.AuthorizationServer 中方法 HandleTokenRequestAsync）。

AccessTokenRequestBase requestMessage = await this.Channel.TryReadFromRequestAsync<AccessTokenRequestBase>(request, cancellationToken);
if (requestMessage != null) {
    // Step 9: Call AuthorizationServerHost.CreateAccessToken to generate Token
    var accessTokenResult = this.AuthorizationServerServices.CreateAccessToken(requestMessage);     
    ErrorUtilities.VerifyHost(accessTokenResult != null, "IAuthorizationServerHost.CreateAccessToken must not return null.");

    IAccessTokenRequestInternal accessRequestInternal = requestMessage;
    accessRequestInternal.AccessTokenResult = accessTokenResult;

    var successResponseMessage = this.PrepareAccessTokenResponse(requestMessage, accessTokenResult.AllowRefreshToken);
    successResponseMessage.Lifetime = accessTokenResult.AccessToken.Lifetime;
    ......
    responseMessage = successResponseMessage;
} else {
    // Validation failed, return error with InvalidRequest
    responseMessage = new AccessTokenFailedResponse() { Error = Protocol.AccessTokenRequestErrorCodes.InvalidRequest };
}

【小结】

应用 DotNetOpenAuth 框架开发 OAuth 验证服务比较容易，但如果不了解其实现原理，开发过程中不免心虚，遇到问题也不能快速解决。所以，不仅知其然，知其所以然还是很重要的。（此篇所示代码多为示意用途，若想下载Demo，参考资料2处有详细代码，我在本篇就不贴出了。需要 DotNetOpenAuth 源码和 Sample 的，可前往官网 http://www.dotnetopenauth.net/）

---

参考资料：

1、[OAuth]基于DotNetOpenAuth实现Client Credentials Grant　　http://www.cnblogs.com/dudu/p/oauth-dotnetopenauth-client-credentials-grant.html

2、DotNetOpenAuth实践之搭建验证服务器　　http://www.cnblogs.com/idefav2010/p/DotNetOpenAuth.html

3、http://www.dotnetopenauth.net/