Блог

Мне еще предстоит найти пример аутентификации Angular с использованием серверной части .NET Core Web API и аутентификации с использованием файлов cookie. Еще в 2019 году я обнаружил, что пока angular SPA обслуживается из того же домена, что и API, использовать аутентификацию с использованием файлов cookie «нормально».

Reference:
https://damienbod.com/2019/01/20/is-a-spa-less-secure-than-a-server-rendered-web-application/

Angular

 const credentials = {
    UserName: userName,
    Password: password
};
this.httpClient.post<AuthorizationInfo>(url, credentials, { withCredentials: true });
 

.NET Core 5.0 Web API (код удален для краткости)

 (startup.cs)
            // Configure cookie authentication.
            services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme).AddCookie(options => {
                options.Cookie.Name = AUTH_COOKIE_NAME;
                options.Cookie.SameSite = SameSiteMode.Strict;
                options.Cookie.HttpOnly = true;
                options.Cookie.SecurePolicy = CookieSecurePolicy.SameAsRequest;
                options.Cookie.IsEssential = true;
                options.SlidingExpiration = true;
            });

(AuthenticationController.cs)
[HttpPost]
public async Task<AuthorizationInfo> Login([FromBody] UserInfo credentials)
{
    if (this.authenticationStore.Authenticate(credentials.UserName, credentials.Password))
    {
        // ... (claims)

        // Create the user's identity and create an authorization cookie.
        ClaimsIdentity claimsIdentity = new ClaimsIdentity(claims, CookieAuthenticationDefaults.AuthenticationScheme);
        await this.HttpContext.SignInAsync(CookieAuthenticationDefaults.AuthenticationScheme, new ClaimsPrincipal(claimsIdentity), new AuthenticationProperties() {
            IsPersistent = true
        });

        return new AuthorizationInfo() {
            UserName = user.UserName,
            Roles = roleNames
        };
    }
    else 
    {
        // ...
    }
}
 

С помощью приведенной выше реализации после успешной аутентификации клиент отправит файл cookie на все остальные запросы, и все это работает отлично и удивительно просто.

Вопрос на миллион долларов: есть ли что-то принципиально неправильное в вышеупомянутом подходе, например, плохая практика смешивать SPA и аутентификацию cookie в одном домене? Можете ли вы предоставить какие-либо онлайн-доказательства в поддержку своих утверждений?

Я уже знаю аргумент о том, что обслуживание вашего приложения и логики идентификации из одного и того же приложения не является хорошей практикой. Кроме того, я искал повсюду какие-либо доказательства, свидетельствующие о том, что приведенная выше реализация является «плохой практикой», но я не нашел ни одного. Отсутствие доказательств не означает, что это хороший шаблон или не «плохой шаблон». Каждый пример Angular или SPA, который я вижу, использует отдельные серверы или службы идентификации, токены, oidc и т. Д.

Бонус: существуют ли какие-либо неосновные, но неотъемлемые аспекты / риски, о которых следует знать при таком подходе, которые следует смягчить, такие как CSRF и т. Д.? (Любые ссылки приветствуются, но не требуются, поскольку вопрос очень широкий).