從壹開始【NetCore3.0】 46 ║ 受權認證：自定義返回格式

時間 2019-11-11

標籤開始 NetCore3.0 受權認證自定義返回格式简体版

原文原文鏈接

前言

哈嘍你們好，立刻就要年底了，距離新的一年，只有50天了，春節是75天。前端

在這個時節內，天氣逐漸變涼，可是你們的心確定很熱吧，由於發生了兩件大事：git

一、雙十一買買買，在這個讓人激動又糾結的一天，你們有沒有被像「高考命題組」般的優惠方案搞得雲裏來霧裏去？最終，我選擇了 <不買東西優惠100%> 的最優解方案，實際上是 Q I O N G 第二聲😂。github

二、還有一個特別轟動的，當屬前兩天上海舉辦的 "中國.NET開發者峯會，能夠這樣讀NET Conf(c,o,n ,f)"，真的特別轟動，各路大神齊聚，只惋惜我當時正在開啓微講堂，爲了履行我上次公衆號點讚的諾言——10小時入門net core的遠程視頻授課🤣。web

言歸正傳，曾幾什麼時候，在某微信羣討論 Http 狀態碼的時候，被某大佬給懟了一下，具體的內容就不說了，反正如今的返回狀態碼無非就那兩個方案，一個是用 RESTFul 風格，徹底經過 http狀態碼來處理，另外一個就是經過自定義返回內容，好比json的格式，把狀態信息放到返回內容裏邊，最終我沒有遵從他的意見，仍是堅持我本身的風格（狀態碼+自定義格式），具體的內容我都會在下面詳細的說明的，恰逢QQ羣裏有一個小夥伴也說到了關於封裝狀態碼的問題，其實我已經寫了，只不過他的更優雅，更漂亮，因此我就用他的方案了：json

投稿人：QQ羣：菜工、 飛非→飛api

主題：封裝受權認證的自定義返回格式。微信

代碼：Blog.Core 主分支websocket

具體內容：詳見下文。app

1、兩種返回格式的思考

在上邊的文章中呢，我和某大佬基於返回格式簡單的代表了下我的的立場，其實我本身也懂，無非就那麼兩個狀況：異步

一、徹底基於 HTTP 返回格式狀態碼

說這個可能有點兒抽象，我舉個例子你們就懂了：

namespace Microsoft.AspNetCore.Http
{
    public static class StatusCodes
    {
        public const int Status100Continue = 100;
        public const int Status101SwitchingProtocols = 101;
        public const int Status102Processing = 102;
        public const int Status200OK = 200;

        // 等等等等

        public const int Status400BadRequest = 400;
        public const int Status401Unauthorized = 401;
        public const int Status402PaymentRequired = 402;
        public const int Status403Forbidden = 403;
        public const int Status404NotFound = 404;
        public const int Status405MethodNotAllowed = 405;
        public const int Status406NotAcceptable = 406;

        public const int Status414RequestUriTooLong = 414;
        public const int Status414UriTooLong = 414;
        public const int Status415UnsupportedMediaType = 415;
        public const int Status416RangeNotSatisfiable = 416;
        public const int Status416RequestedRangeNotSatisfiable = 416;
        public const int Status417ExpectationFailed = 417;
        public const int Status418ImATeapot = 418;
        public const int Status419AuthenticationTimeout = 419;
        public const int Status421MisdirectedRequest = 421;
        public const int Status422UnprocessableEntity = 422;
        public const int Status423Locked = 423;
        public const int Status424FailedDependency = 424;
     
        // 等等等等

        public const int Status500InternalServerError = 500;
        public const int Status501NotImplemented = 501;
        public const int Status502BadGateway = 502;
        public const int Status503ServiceUnavailable = 503;
        public const int Status504GatewayTimeout = 504;
        public const int Status505HttpVersionNotsupported = 505;
        public const int Status506VariantAlsoNegotiates = 506;
        public const int Status507InsufficientStorage = 507;
        public const int Status508LoopDetected = 508;
        public const int Status510NotExtended = 510;
        public const int Status511NetworkAuthenticationRequired = 511;
    }
}

上邊的就是官方給定的 Http 狀態碼，我刪了一些，你們能夠看出來，官方給的特別多，也特別的全，已經能知足咱們平時開發的全部須要，徹底沒問題，並且呢，這樣還有一個好處，就是好比前端的項目，好比 VUE ，能夠根據 http 狀態碼來進行攔截器進行封裝，而不用看返回結果了，單單從 statuscode 上，就直接統一攔截，這樣看似特別完美，那爲啥還會有第二種解決方案呢，請繼續往下看。

二、自定義返回格式內容

上邊的方法真的就特別完美麼，首先，攔截器這個優勢，並非只能用在攔截 http statuscode 上，針對具體的返回內容也能夠攔截。

其次，你們可能偶爾會遇到過這個狀況，就是訪問微信或者什麼的時候，會出現提示「5003 xxxxxx異常」，你們能夠看一下，這個返回狀態碼，http 是沒有的。

並且，websocket 也並無那些所謂的 404 、503吧，這個時候就須要咱們去自定義，好比這樣的：

這就是第二種解決方案，這兩種方案其實一直都存在咱們的平時開發過程當中的，固然我是都在用的，我目前本身的開源項目裏，用的是第一種解決方案，偶爾也會有第二種，公司的某些項目裏，用的是第二種，由於有時候狀態信息太多，必須去自定義，因此這兩種方案我都是支持的，也不用說這個不對，那個錯誤，並且我也同時用了這兩個。

那既然兩種都支持，若是兩個我都想用，怎麼封裝一下呢，沒問題，我就在 Blog.Core 項目裏，對受權認證返回格式封裝一下，你們看看吧，原理我之後會在直播裏講，這裏就不細說了，直接講操做步驟。

2、自定義受權認證返回格式

一、複雜的策略受權

那既然說到了返回格式，確定得有一個場景，那我就用個人複雜策略受權 PermissionHandler.cs 來舉例子，你們平時也都用過，我在本週三的直播中，會詳細說名這個複雜策略受權的運行機制，到時候也會有錄屏，你們到時候看看就知道了，這裏不細說。

簡單來講，就是獲取當前 token 的角色信息和訪問的URL地址，作匹配和判斷，判斷是否有權限，有，就 succeed，沒有就 failed（這裏多是 401 ，也多是403）。

當沒有登陸的時候，就是沒有登陸，或者token過時的時候，咱們就 failed，會自動返回 401；

當token還有效，可是不匹配Role 和 URL 的時候，咱們返回 failed，會自動返回 403 狀態碼；

這裏截圖部分代碼，注意下，這裏若是你以前寫其餘返回內容了，要刪掉，只保留 failed 和 return：

可是，雖然是返回 401 和 403了，他們是這樣的，這種很差看，並且也沒有具體的響應 Message，不太友好

因此咱們就須要自定義返回內容的格式。

二、定義響應實體類

我這裏寫了一個很 low 的類，具體就是那個意思，你們看看便可，有更優雅的能夠幫忙說說，或者提交個 PR：

namespace Blog.Core.AuthHelper.Policys
{
    public class ApiResponse
    {
        public int Status { get; set; } = 404;
        public object Value { get; set; } = "No Found";

        public ApiResponse(StatusCode apiCode)
        {
            switch (apiCode)
            {
                case StatusCode.CODE401:
                    {
                        Status = 401;
                        Value = "很抱歉，您無權訪問該接口，請確保已經登陸!";
                    }
                    break;
                case StatusCode.CODE403:
                    {
                        Status = 403;
                        Value = "很抱歉，您的訪問權限等級不夠，聯繫管理員!";
                    }
                    break;
            }
        }
    }

    public enum StatusCode
    {
        CODE401,
        CODE403,
        CODE404,
        CODE500
    }

}

這個實體類，是用來返回響應內容的，如何使用，請往下看。

三、定義響應處理器

那咱們既然自定義了響應內容，就須要定義響應處理器，方法就是繼承抽象類 AuthenticationHandler<TOptions> ，而後重寫方法：

namespace Blog.Core.AuthHelper
{
    public class ApiResponseHandler : AuthenticationHandler<AuthenticationSchemeOptions>
    {
        public ApiResponseHandler(IOptionsMonitor<AuthenticationSchemeOptions> options, ILoggerFactory logger, UrlEncoder encoder, ISystemClock clock) : base(options, logger, encoder, clock)
        {
        }

        protected override Task<AuthenticateResult> HandleAuthenticateAsync()
        {
            throw new NotImplementedException();
        }
        protected override async Task HandleChallengeAsync(AuthenticationProperties properties)
        {
            Response.ContentType = "application/json";
            Response.StatusCode = StatusCodes.Status401Unauthorized;
            await Response.WriteAsync(JsonConvert.SerializeObject(new ApiResponse(StatusCode.CODE401)));
        }

        protected override async Task HandleForbiddenAsync(AuthenticationProperties properties)
        {
            Response.ContentType = "application/json";
            Response.StatusCode = StatusCodes.Status403Forbidden;
            await Response.WriteAsync(JsonConvert.SerializeObject(new ApiResponse(StatusCode.CODE403)));
        }

    }
}

這裏很簡單，只是重寫了兩個異步方法，而後將內容 Response 出去便可。

四、替換默認Scheme方案

在上邊咱們說到了，咱們的認證服務 services.AddAuthentication() 它本身有一套返回格式和內容，就是上邊截圖的內容，那咱們要修改，就須要給替換掉：

 // 開啓Bearer認證
 services.AddAuthentication(o=> {
     o.DefaultScheme = JwtBearerDefaults.AuthenticationScheme;
     o.DefaultChallengeScheme = nameof(ApiResponseHandler);
     o.DefaultForbidScheme = nameof(ApiResponseHandler);
 })
  // 添加JwtBearer服務
  .AddJwtBearer(o =>
  {
      o.TokenValidationParameters = tokenValidationParameters;
      o.Events = new JwtBearerEvents
      {
          OnAuthenticationFailed = context =>
          {
              // 若是過時，則把<是否過時>添加到，返回頭信息中
              if (context.Exception.GetType() == typeof(SecurityTokenExpiredException))
              {
                  context.Response.Headers.Add("Token-Expired", "true");
              }
              return Task.CompletedTask;
          }
      };
  })
  .AddScheme<AuthenticationSchemeOptions, ApiResponseHandler>(nameof(ApiResponseHandler), o => { });