oauth - 保护 ASP.NET WebAPI - 自定义登录 + 社交登录

Question

我正在编写一个 ASP.Net WebApi 应用程序，我想使用自定义登录（如 ASP.NET 成员资格）和社交登录（谷歌、Facebook、Twitter、LinkedIn 以及希望更多）的组合来保护它。用户应该能够选择其中任何一个。

我的客户端是纯 HTML/JS SPA 应用程序，为此我需要实现 OAuth 的隐式授权流程。

我现在看到的选项是

1. 使用 Thinktecture 的身份服务器和授权服务器。

2. 使用 DotNetOpenAuth 库。

谁能指出我正确的方向？以上哪个选项对我有用？

谢谢

Answer 1

为什么不遵循 MVC 5 SPA 模板中的相同模式，它已经完成了您想要做的事情：

1. 它使用资源所有者密码登录流程和 ASP.NET Identity API
2. 支持社交登录（Google、Facebook、Twitter、Microsoft 帐户）
3. 它的客户端使用淘汰赛和纯 html/js
4. 它使用隐式授权流将社交登录转换为应用程序访问令牌

该模板使用 OWIN 安全中间件，可以支持：

1. Cookie 身份验证
2. 不记名令牌认证
3. 社交登录验证
4. OAuth 2.0 授权服务器流和扩展授权，您可以自定义自己的

您可能需要我的博客来更好地了解 SPA 模板中的整个安全故事。