用以太坊区块链保证Asp.Net Core的API安全（上）

栏目: ASP.NET · 发布时间: 6年前

内容简介：去中心化应用程序（DApp）的常见设计不仅依赖于以太坊区块链，还依赖于API层。在这种情况下，DApp通过用户的以太坊帐户与智能合约进行交互，并通过交换用户凭据而发布的JWT token与API层进行交互。目标是

去中心化应用程序（DApp）的常见设计不仅依赖于以太坊区块链，还依赖于API层。在这种情况下，DApp通过用户的以太坊帐户与智能合约进行交互，并通过交换用户凭据而发布的JWT token与API层进行交互。

用以太坊区块链保证Asp.Net Core的API安全（上）

目标是 使用以太坊帐户作为用户凭据 来请求JWT Token。

最简单的方法可能是请求用户使用其他随机生成的数据在以太坊上进行交易，然后在发出JWT之前检查交易和随机数据。这种方法有几个副作用：

  • 1.用户必须进行交易并支付gas以进行简单的身份验证。
  • 2.用户必须等待12-120秒（基于耗费的gas）才能完成身份验证过程。
  • 3.每个用户的所有登录操作在以太坊区块链上变得不可公开。

这种方式不实用，并且有一些用户体验限制，我们需要一种方法让用户证明他拥有与他想要用来登录的帐户相关的私钥，而不是只（当然）要求私钥，而不管他是否进行交易。

解决方案

Metamask团队成员 Dan Finlay 的 这篇文章 向我启发了本教程。基本上，你的DApp可以提示用户使用他的私钥对短信进行签名。此签名操作不会生成交易，并且它由Metamask附加组件透明地处理（顺便说一句，你的帐户需要解锁）。签名后，帐户，消息和签名将发送到API Token endpoint。验证方法首先通过接受签名和明文消息作为输入的函数从签名中推断帐户（也称为公钥）。如果计算的以太坊地址等于用户提供的帐户，则为该帐户发出JWT Token。

请务必注意，整个身份验证流程不需要用户名/密码或OAuth外部服务。用于验证用户身份的机制与以太坊用于保证以太坊区块链安全性的机制相同。这要归功于Go ethereum（Geth）通过Metamask插件提供JSON RPC中的 web3.personal.sign 。

服务器端调用对应的JSON RPC以从签名中检索帐户： web3.personal.ecrecover 。在本教程中，我们将构建一个Asp.Net Core 2项目作为API层，并构建一个简单的HTML/javascript客户端作为DApp，以实际演示此身份验证过程。

用以太坊区块链保证Asp.Net Core的API安全（上） 

web3.personal.sign
web3.personal.ecrecover

先决条件 

web3.personal.*

开始

打开Visual Studio 2017，创建 EthereumJwtSolution 并添加两个Asp.Net Core 2 Web应用程序项目： EthereumJwtApi 和 EthereumJwtClient 。为两个项目选择空项目脚手架。

用以太坊区块链保证Asp.Net Core的API安全（上）

EthereumJwtClient 只是一个HTML/Javascript客户端。我们将在Asp.Net Core上构建客户端应用程序，只是为了在IIS Express上轻松运行它。

我们需要准备 EthereumJwtApi 来创建和处理JWT token，以保护一些安全端点。任务很简单，因为Asp.Net Core 2有一个内置的JWT机制，可以插入我们的应用程序。 打开 Startup.cs 并修改 ConfigureServices 方法： 

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            ValidIssuer = Configuration["Jwt:Issuer"],
            ValidAudience = Configuration["Jwt:Audience"],
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(Configuration["Jwt:Key"]))
        };
    });

    services.AddCors(options =>
    {
        options.AddPolicy("CorsPolicy",
            builder => builder.AllowAnyOrigin()
              .AllowAnyMethod()
              .AllowAnyHeader()
              .AllowCredentials()
        .Build());
    });

    services.AddMvc();

然后修改 Configure 方法： 

if (env.IsDevelopment())
{
    app.UseDeveloperExceptionPage();
}

app.UseCors("CorsPolicy");

app.UseAuthentication();

app.UseMvc();

我们告诉我们的API应用程序使用 JWT身份验证服务 。为了与我们的用户合作，我们还需要配置 Cors 策略。我们在 appsetting.json 中定义设置JWT配置： 

"Jwt": {
    "Key": "averysecretpassphrase", // A random and secure passhphrase
    "Issuer": "http://localhost:49443/", // This API base URI
    "Audience": "http://localhost:51149/" // The client base URI
  },

为测试目的创建一个简单的可能安全端点：

[Route("api/[controller]")]
public class ValuesController : Controller
{
    // GET api/values
    [HttpGet, Authorize]
    public IEnumerable<string> Get()
    {
        return new string[] { "Secret 1", "Secret 2" };
    }
}

TokenController.cs 将处理JWT请求和相关的token问题： 

[Route("api/[controller]")]
public class TokenController : Controller
{
    private IConfiguration _config;

    public TokenController(IConfiguration config)
    {
        _config = config;
    }

    [AllowAnonymous]
    [HttpPost]
    public async Task<IActionResult> CreateToken([FromBody]LoginVM login)
    {
        var user = await Authenticate(login);

        if (user != null)
        {
            var tokenString = BuildToken(user);
            return Ok(new { token = tokenString });
        }

        return Unauthorized();
    }

    private string BuildToken(UserVM user)
    {
        var claims = new[] {
            new Claim(JwtRegisteredClaimNames.Sub, user.Account),
            new Claim(JwtRegisteredClaimNames.GivenName, user.Name),
            new Claim(JwtRegisteredClaimNames.Email, user.Email),
            new Claim(JwtRegisteredClaimNames.Jti, Guid.NewGuid().ToString())
        };

        var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_config["Jwt:Key"]));
        var creds = new SigningCredentials(key, SecurityAlgorithms.HmacSha256);

        var token = new JwtSecurityToken(_config["Jwt:Issuer"],
          _config["Jwt:Audience"],
          claims,
          expires: DateTime.Now.AddMinutes(30),
          signingCredentials: creds);

        return new JwtSecurityTokenHandler().WriteToken(token);
    }

    private async Task<UserVM> Authenticate(LoginVM login)
    {
        // TODO: this method will authenticate the user recovering the Ethereum address from signature using the Geth RPC web3.personal.ecrecover API

        UserVM user = user = new UserVM { Account = login.Account, Name = string.Empty, Email = string.Empty };

        return user;
    }

    private async Task<UserVM> Authenticate2(LoginVM login)
    {
        // TODO: This method will authenticate the user recovering his Ethereum address through underlaying offline ecrecover method.
        
        UserVM user = user = new UserVM { Account = login.Account, Name = string.Empty, Email = string.Empty };

        return user;
    }

这是一个典型的JWT控制器，核心方法， Authenticate 和 Authenticate2 尚未实现。一旦实现，他们将完成相同的工作：从签名中恢复以太坊地址，并检查它是否等于客户端提供的以太坊地址。

LoginVM 表示客户端提供的用户凭据， UserVM 表示“服务器端”登录用户： 

public class LoginVM
{
    public string Signer { get; set; } // Ethereum account that claim the signature
    public string Signature { get; set; } // The signature
    public string Message { get; set; } // The plain message
    public string Hash { get; set; } // The prefixed and sha3 hashed message 
}

public class UserVM
{
    public string Account { get; set; } // Unique account name (the Ethereum account)
    public string Name { get; set; } // The user name
    public string Email { get; set; } // The user Email
}

Authenticate 方法将 Signature 和 Message 属性作为 ecRecover 函数的输入， Authenticate2 方法将采用 Signature 和 Hash 属性。我稍后会解释其中的差异。

======================================================================

分享一些以太坊、EOS、比特币等区块链相关的交互式在线编程实战教程：

  • java以太坊开发教程，主要是针对 java 和android程序员进行区块链以太坊开发的web3j详解。
  • python以太坊，主要是针对 python 工程师使用web3.py进行区块链以太坊开发的详解。
  • php以太坊，主要是介绍使用 php 进行智能合约开发交互，进行账号创建、交易、转账、代币开发以及过滤器和交易等内容。
  • 以太坊入门教程，主要介绍智能合约与dapp应用开发，适合入门。
  • 以太坊开发进阶教程，主要是介绍使用node.js、 mongodb 、区块链、ipfs实现去中心化电商DApp实战，适合进阶。
  • C#以太坊，主要讲解如何使用C#开发基于.Net的以太坊应用，包括账户管理、状态与交易、智能合约开发与交互、过滤器和交易等。
  • EOS教程，本课程帮助你快速入门EOS区块链去中心化应用的开发，内容涵盖EOS工具链、账户与钱包、发行代币、智能合约开发与部署、使用代码与智能合约交互等核心知识点，最后综合运用各知识点完成一个便签DApp的开发。
  • java比特币开发教程，本课程面向初学者，内容即涵盖比特币的核心概念，例如区块链存储、去中心化共识机制、密钥与脚本、交易与UTXO等，同时也详细讲解如何在Java代码中集成比特币支持功能，例如创建地址、管理钱包、构造裸交易等，是Java工程师不可多得的比特币开发学习课程。
  • php比特币开发教程，本课程面向初学者，内容即涵盖比特币的核心概念，例如区块链存储、去中心化共识机制、密钥与脚本、交易与UTXO等，同时也详细讲解如何在Php代码中集成比特币支持功能，例如创建地址、管理钱包、构造裸交易等，是Php工程师不可多得的比特币开发学习课程。

汇智网原创翻译，转载请标明出处。这里是 原文


以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持 码农网

查看所有标签

猜你喜欢:

本站部分资源来源于网络，本站转载出于传递更多信息之目的，版权归原作者或者来源机构所有，如转载稿涉及版权问题，请联系我们。

码农书籍
x86/x64体系探索及编程

x86/x64体系探索及编程

邓志 / 电子工业出版社 / 2012-10-1 / 119.00元

本书是对Intel手册所述处理器架构的探索和论证。全书共五大部分，从多个方面对处理器架构相关的知识进行了梳理介绍。书中每个章节都有相应的测试实验，所运行的实验例子都可以在真实的机器上执行。 通过阅读本书，读者应能培养自己动手实验的能力。如果再有一些OS方面的相关知识，基本上就可以写出自己简易的OS核心。 本书适合有一定的x86基础知识，且对了解处理器架构及编程感兴趣的读者阅读。一起来看看 《x86/x64体系探索及编程》 这本书的介绍吧!

码农工具
随机密码生成器
随机密码生成器

多种字符组合密码

XML、JSON 在线转换
XML、JSON 在线转换

在线XML、JSON转换工具

UNIX 时间戳转换
UNIX 时间戳转换

UNIX 时间戳转换

  • New
  • 文章
  • 话题
  • 教程
    • 关注 码农网 公众号
    版权所有，保留一切权利！© 2018-2024 码农网 粤ICP备17054400号-3