Question

目前，我正在撰写有关Asp .Net Core中身份验证可能性的小文章。身份验证对我来说是全新的，我感到困惑，因为一些消息源谈论身份验证方案，而另一些消息涉及身份验证协议。有什么区别吗？还是方案在这种情况下是协议的同义词？

例如：在此资源中，NTLM被描述为一种方案： https://docs.microsoft.com/en-us/dotnet/framework/wcf/feature-details/understanding-http-authentication

在这里它被列为协议：https://en.wikipedia.org/wiki/Authentication_protocol

Answer 1

OpenIDConnect，OAuth，LDAP等是协议。 Cookie，Bearer（用于JWT）是方案。

应用程序可以在同一应用程序中使用多种身份验证机制（例如JWT，Cookie）（例如，如果它具有带有Razor视图的MVC，使用cookie和使用JWT的WebAPI）。

即

services.AddAuthentication(options =>
{
    options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = "oidc";
})
.AddCookie(options =>
{
    options.ExpireTimeSpan = TimeSpan.FromMinutes(60);
})
.AddOpenIdConnect("oidc", options =>
{
    options.Authority = "http://localhost:8000";

    options.ClientId = "mvc";
    options.ClientSecret = "secret";

    options.ResponseType = "code id_token";
    options.Scope.Add("email");
    options.Scope.Add("api1");
    options.Scope.Add("offline_access");

    options.GetClaimsFromUserInfoEndpoint = true;
    options.SaveTokens = true;

    options.TokenValidationParameters = new TokenValidationParameters
    {
        NameClaimType = JwtClaimTypes.Name,
        RoleClaimType = JwtClaimTypes.Role,
    };
});

该方案用于确定从哪个提供程序中获取用户信息（例如身份验证状态，声明等）。

控制器或操作上的

[Authorize(AuthenticationSchemes = "Bearer")]将使用从这些JwtBearer Auth提供程序获得的用户数据，其中[Authorize(AuthenticationSchemes = "Cookies")]将使用从cookie授权提供程序获得的信息。

身份验证方案和身份验证协议之间有区别吗？

1 个答案: