这个文章先说一说Oauth2.0的原理，再到应用场景，最后才是代码实现，这样才学会最终的思想，并在应用场景使用，所谓实践出真理。
1，Oauth2.0的原理
OAuth是一个关于授权（authorization）的开放网络标准，在全世界得到广泛应用，目前的版本是2.0版。在互联网，经常用到OAuth2.0无非有三种场景：
1.1对外完全开放，系统与系统的对接，例如淘宝开放平台。
1.2内部系统对内部系统，如：（api.xxxx.com是一个子系统，web.xxxx.com是另外一个业务线的子系统，交给不同的团队处理，有NET，有JAVA）
1.3内部系统对内部客户端系统。如（API.xxxx.com是对外开放的接口系统，IOS，安卓，C/S客户端，相关对接）.
综合三种应用场景，我们来分解一下Oauth2.0怎样在实践中使用。
在Oauth2.0的使用场景中，最常见到的就是对外完全开放，像淘宝开放平台，新浪，腾讯QQ，微信，大量使用Oauth2.0，相反，后两种由于都是内部使用，所以一般都存在内部，让我以为Oauth2.0授权模式只有第一种，其实不是，Oauth2.0分别有四种授权模式，分别为：
- 授权码模式（authorization code）
- 简化模式（implicit）
- 密码模式（resource owner password credentials）
- 客户端模式（client credentials）
而微信公众号采用的是授权码模式（authorization code），即颁发用户Appid,AppSecret,URL地址合法性，来进行统一调度与验证。，
1.1、授权码模式
授权码模式（authorization code）是功能最完整、流程最严密的授权模式。它的特点就是通过客户端的后台服务器，与"服务提供商"的认证服务器进行互动，所以一般开放平台首先这一类授权码模式，新浪开放平台，公众号API，淘宝开放平台都采用这一类，一般搭配HTTPS来提高安全机制。
微信公众号API就是采用这一种模式，我们来梳理一下授权码模式的流程：
它的步骤如下：
（A）用户访问客户端，后者将前者导向认证服务器。
（B）用户选择是否给予客户端授权。
（C）假设用户给予授权，认证服务器将用户导向客户端事先指定的"重定向URI"（redirection URI），同时附上一个授权码。
（D）客户端收到授权码，附上早先的"重定向URI"，向认证服务器申请令牌。这一步是在客户端的后台的服务器上完成的，对用户不可见。
（E）认证服务器核对了授权码和重定向URI，确认无误后，向客户端发送访问令牌（access token）和更新令牌（refresh token）。
下面是上面这些步骤所需要的参数。
A步骤中，客户端申请认证的URI，包含以下参数：
- response_type：表示授权类型，必选项，此处的值固定为"code"
- client_id：表示客户端的ID，必选项
- redirect_uri：表示重定向URI，可选项
- scope：表示申请的权限范围，可选项
- state：表示客户端的当前状态，可以指定任意值，认证服务器会原封不动地返回这个值。
再来看一看微信公众平台OAuth2.0授权详细步骤如下：
1. 用户关注微信公众账号。
2. 微信公众账号提供用户请求授权页面URL。
3. 用户点击授权页面URL，将向服务器发起请求
4. 服务器询问用户是否同意授权给微信公众账号(scope为snsapi_base时无此步骤)
5. 用户同意(scope为snsapi_base时无此步骤)
6. 服务器将CODE通过回调传给微信公众账号
7. 微信公众账号获得CODE
8. 微信公众账号通过CODE向服务器请求Access Token
9. 服务器返回Access Token和OpenID给微信公众账号
10. 微信公众账号通过Access Token向服务器请求用户信息(scope为snsapi_base时无此步骤)
11. 服务器将用户信息回送给微信公众账号(scope为snsapi_base时无此步骤)
是不是一目了然，那么根椐这个需求，整理一下流程为：
1，先去开放平台（api地址）申请一个CODE，（那么我们需要判断appid,请求过来的URL合法性，生成CODE，并附于某个时间有效，5分钟失效，仿微信，然后做持久存储）。
2，再根据CODE，APPID，AppSecret（平台颁发的应用ID及密锁），生成有效期的Access Token。（判断APPID，AppSecret合法性，然后根椐Appid获取持久存储层的Access Token，并把CODE取消合法,然后返回Access Token过期时间）
3，判断Access Token的合法化，完成。
流程梳理完了，我们就开始实现代码的编写：
/// <summary>
/// 对接商家，开放平台的接口
/// </summary>
/// <param name="AppId">应用ID</param>
/// <param name="RedirectUri">授权回调地址</param>
/// <param name="response_type"></param>
/// <param name="scope"></param>
/// <param name="state"></param>
/// <returns></returns>
[HttpGet]
public dynamic authorize(string AppId, string RedirectUri, string response_type, string scope, string state)
{
//获取APPID应用表的字段
var model = _ISellerApplication.Get(AppId);
//判断APPID合法性及RedirectUri地址的合法
if (model.AppId.Trim().ToLower() == model.AppId.ToLower() && RedirectUri.ToLower().Contains(model.ApplicationUrl.ToLower()))
{ //请求的地址合法性,如果不合法，直接返回
if (!Request.RequestUri.AbsoluteUri.Contains(model.ApplicationUrl.ToLower()))
{
return Redirect($"{RedirectUri}?state={state}");
}
var appcodemodel = new AppCodeModel()
{
AccessToken = string.Concat(Guid.NewGuid().ToString("N"), Guid.NewGuid().ToString("N")).ToLower().CutString(),
AppCode = string.Concat(Guid.NewGuid().ToString("N"), Guid.NewGuid().ToString("N")).ToLower().CutString(),
ApplicationUrl = RedirectUri,
CreateDate = DateTime.Now,
AppId=model.AppId }; //如果插入成功，返回CODE给他们
if (_IAppCode.Insert(appcodemodel))
{
if (RedirectUri.Equals("?"))
{ return Redirect($"{RedirectUri}&state={state}&code={appcodemodel.AppCode}");
}
else
{ return Redirect($"{RedirectUri}?state={state}&code={appcodemodel.AppCode}");}
}
}
//插入不成功，直接返回state
return Redirect($"{RedirectUri}?state={state}");
}
再实现第二步调用：
/// <summary>
///通过网页授权获取access_token
/// </summary>
/// <param name="AppId"></param>
/// <param name="AppSecret"></param>
/// <param name="code"></param>
/// <param name="grant_type"></param>
/// <returns></returns>
[HttpGet]
public dynamic AccessToken(string AppId, string AppSecret, string code, string grant_type)
{ //从持久层获取APPID模型
var model = _IAppSoft.Get(AppId);
//判断Appid
if (model == null || model.AppId.Trim() != AppId.Trim())
{
return new ApiArgumentException(ApiArgumentExceptionEum.APPID出错.ToString(), (int)ApiArgumentExceptionEum.APPID出错);
}
//判断AppSecret
if (model.AppSecret.Trim() != AppSecret.Trim())
{
return new ApiArgumentException(ApiArgumentExceptionEum.AppSecret错误.ToString(), (int)ApiArgumentExceptionEum.AppSecret错误);
}
//获取CODE并判断，CODE是否在过期范围内，5表示5分钟内有效
var AppCodeModel = _IAppCode.Get(5)); if (AppCodeModel == null)
{
return new ApiArgumentException(ApiArgumentExceptionEum.不合法的oauth_code.ToString(), (int)ApiArgumentExceptionEum.不合法的oauth_code);
}
var apptokenmodel = new AppTokenModel()
{
AccessToken = AppCodeModel.AccessToken,
AppId = AppId,
ClientId = model.ClientId,
CreateDate = DateTime.Now,
ExpireDate = DateTime.Now.AddHours(),
Status =
};
//把AccessToken插入数据库，或者存储缓存
bool bl = _IAppToken.Insert(apptokenmodel);
//返回 AccessToken 及过期时间
return new
{
AccessToken = AppCodeModel.AccessToken,
ExpireDate =
}; }
现在仿微信都完成了授权的核心代码，第二步就可开始写AOP，然后统一验证AccessToken，由于用到的是WEB API2.0,所以我们统一写一个AOP类，并且继承 AuthorizationFilterAttribute, IActionFilter类，即可以写一个简单的AOP
代码如下：
namespace Saas.AOP
{ [AttributeUsage(AttributeTargets.Class | AttributeTargets.Method, AllowMultiple = false)] public class AppOauthAuthentication : AuthorizationFilterAttribute, IActionFilter
{ protected AppTokenModel apptoken; public AppOauthAuthentication() { } public override void OnAuthorization(HttpActionContext actionContext)
{
var query = actionContext.Request.GetParamsFromUrl(); var tokenString = query.Get("accessToken"); if (string.IsNullOrWhiteSpace(tokenString) )
{
actionContext.Response = CreateResponse(actionContext, , "请检查oauth认证参数");
return;
}
apptoken = new AppTokenBusiness().GetByAccessToken(tokenString); if (apptoken == null)
{
actionContext.Response = CreateResponse(actionContext, , "未找到指定的accessToken");
return;
} if (apptoken.ExpireDate < DateTime.Now)
{
actionContext.Response = CreateResponse(actionContext, , "accessToken已过期");
return;
} if (apptoken.Status == )
{
actionContext.Response = CreateResponse(actionContext, , "APPID已更正,当前accessToken已失效");
return;
}
Thread.CurrentPrincipal = new GenericPrincipal(new GenericIdentity(apptoken.AppId), null);
base.OnAuthorization(actionContext);
} }}
调用如下：
/// <summary>
/// 例子
/// </summary> /// <returns></returns>
[HttpPost, AppOauthAuthentication]
public int test()
{
return 1;
}
而简单的一个仿微信的Oauth2.0，就完成了。
而关于Oauth2.0对于内部系统调用，以及APP怎样搭建一个通用的Oauth2.0，在明天再写，结合三种场景，搭建整一套的NET Oauth2.0系统，并完成跨平台。
由于公司项目，是整一套的，暂时没整理实现开放，有需要交流的可以加我微信，BON184195873,扫描以下二维码，备注：CNBLOGS即可以。