用以太坊区块链保证Asp.Net Core的API安全（上）

栏目: ASP.NET · 发布时间: 5年前

内容简介：去中心化应用程序（DApp）的常见设计不仅依赖于以太坊区块链，还依赖于API层。在这种情况下，DApp通过用户的以太坊帐户与智能合约进行交互，并通过交换用户凭据而发布的JWT token与API层进行交互。目标是

去中心化应用程序（DApp）的常见设计不仅依赖于以太坊区块链，还依赖于API层。在这种情况下，DApp通过用户的以太坊帐户与智能合约进行交互，并通过交换用户凭据而发布的JWT token与API层进行交互。

用以太坊区块链保证Asp.Net Core的API安全（上）

目标是 使用以太坊帐户作为用户凭据 来请求JWT Token。

最简单的方法可能是请求用户使用其他随机生成的数据在以太坊上进行交易，然后在发出JWT之前检查交易和随机数据。这种方法有几个副作用：

  • 1.用户必须进行交易并支付gas以进行简单的身份验证。
  • 2.用户必须等待12-120秒（基于耗费的gas）才能完成身份验证过程。
  • 3.每个用户的所有登录操作在以太坊区块链上变得不可公开。

这种方式不实用，并且有一些用户体验限制，我们需要一种方法让用户证明他拥有与他想要用来登录的帐户相关的私钥，而不是只（当然）要求私钥，而不管他是否进行交易。

解决方案

Metamask团队成员 Dan Finlay 的 这篇文章 向我启发了本教程。基本上，你的DApp可以提示用户使用他的私钥对短信进行签名。此签名操作不会生成交易，并且它由Metamask附加组件透明地处理（顺便说一句，你的帐户需要解锁）。签名后，帐户，消息和签名将发送到API Token endpoint。验证方法首先通过接受签名和明文消息作为输入的函数从签名中推断帐户（也称为公钥）。如果计算的以太坊地址等于用户提供的帐户，则为该帐户发出JWT Token。

请务必注意，整个身份验证流程不需要用户名/密码或OAuth外部服务。用于验证用户身份的机制与以太坊用于保证以太坊区块链安全性的机制相同。这要归功于Go ethereum（Geth）通过Metamask插件提供JSON RPC中的 web3.personal.sign 。

服务器端调用对应的JSON RPC以从签名中检索帐户： web3.personal.ecrecover 。在本教程中，我们将构建一个Asp.Net Core 2项目作为API层，并构建一个简单的HTML/javascript客户端作为DApp，以实际演示此身份验证过程。

用以太坊区块链保证Asp.Net Core的API安全（上） 

web3.personal.sign
web3.personal.ecrecover

先决条件 

web3.personal.*

开始

打开Visual Studio 2017，创建 EthereumJwtSolution 并添加两个Asp.Net Core 2 Web应用程序项目： EthereumJwtApi 和 EthereumJwtClient 。为两个项目选择空项目脚手架。

用以太坊区块链保证Asp.Net Core的API安全（上）

EthereumJwtClient 只是一个HTML/Javascript客户端。我们将在Asp.Net Core上构建客户端应用程序，只是为了在IIS Express上轻松运行它。

我们需要准备 EthereumJwtApi 来创建和处理JWT token，以保护一些安全端点。任务很简单，因为Asp.Net Core 2有一个内置的JWT机制，可以插入我们的应用程序。 打开 Startup.cs 并修改 ConfigureServices 方法： 

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            ValidIssuer = Configuration["Jwt:Issuer"],
            ValidAudience = Configuration["Jwt:Audience"],
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(Configuration["Jwt:Key"]))
        };
    });

    services.AddCors(options =>
    {
        options.AddPolicy("CorsPolicy",
            builder => builder.AllowAnyOrigin()
              .AllowAnyMethod()
              .AllowAnyHeader()
              .AllowCredentials()
        .Build());
    });

    services.AddMvc();

然后修改 Configure 方法： 

if (env.IsDevelopment())
{
    app.UseDeveloperExceptionPage();
}

app.UseCors("CorsPolicy");

app.UseAuthentication();

app.UseMvc();

我们告诉我们的API应用程序使用 JWT身份验证服务 。为了与我们的用户合作，我们还需要配置 Cors 策略。我们在 appsetting.json 中定义设置JWT配置： 

"Jwt": {
    "Key": "averysecretpassphrase", // A random and secure passhphrase
    "Issuer": "http://localhost:49443/", // This API base URI
    "Audience": "http://localhost:51149/" // The client base URI
  },

为测试目的创建一个简单的可能安全端点：

[Route("api/[controller]")]
public class ValuesController : Controller
{
    // GET api/values
    [HttpGet, Authorize]
    public IEnumerable<string> Get()
    {
        return new string[] { "Secret 1", "Secret 2" };
    }
}

TokenController.cs 将处理JWT请求和相关的token问题： 

[Route("api/[controller]")]
public class TokenController : Controller
{
    private IConfiguration _config;

    public TokenController(IConfiguration config)
    {
        _config = config;
    }

    [AllowAnonymous]
    [HttpPost]
    public async Task<IActionResult> CreateToken([FromBody]LoginVM login)
    {
        var user = await Authenticate(login);

        if (user != null)
        {
            var tokenString = BuildToken(user);
            return Ok(new { token = tokenString });
        }

        return Unauthorized();
    }

    private string BuildToken(UserVM user)
    {
        var claims = new[] {
            new Claim(JwtRegisteredClaimNames.Sub, user.Account),
            new Claim(JwtRegisteredClaimNames.GivenName, user.Name),
            new Claim(JwtRegisteredClaimNames.Email, user.Email),
            new Claim(JwtRegisteredClaimNames.Jti, Guid.NewGuid().ToString())
        };

        var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_config["Jwt:Key"]));
        var creds = new SigningCredentials(key, SecurityAlgorithms.HmacSha256);

        var token = new JwtSecurityToken(_config["Jwt:Issuer"],
          _config["Jwt:Audience"],
          claims,
          expires: DateTime.Now.AddMinutes(30),
          signingCredentials: creds);

        return new JwtSecurityTokenHandler().WriteToken(token);
    }

    private async Task<UserVM> Authenticate(LoginVM login)
    {
        // TODO: this method will authenticate the user recovering the Ethereum address from signature using the Geth RPC web3.personal.ecrecover API

        UserVM user = user = new UserVM { Account = login.Account, Name = string.Empty, Email = string.Empty };

        return user;
    }

    private async Task<UserVM> Authenticate2(LoginVM login)
    {
        // TODO: This method will authenticate the user recovering his Ethereum address through underlaying offline ecrecover method.
        
        UserVM user = user = new UserVM { Account = login.Account, Name = string.Empty, Email = string.Empty };

        return user;
    }

这是一个典型的JWT控制器，核心方法， Authenticate 和 Authenticate2 尚未实现。一旦实现，他们将完成相同的工作：从签名中恢复以太坊地址，并检查它是否等于客户端提供的以太坊地址。

LoginVM 表示客户端提供的用户凭据， UserVM 表示“服务器端”登录用户： 

public class LoginVM
{
    public string Signer { get; set; } // Ethereum account that claim the signature
    public string Signature { get; set; } // The signature
    public string Message { get; set; } // The plain message
    public string Hash { get; set; } // The prefixed and sha3 hashed message 
}

public class UserVM
{
    public string Account { get; set; } // Unique account name (the Ethereum account)
    public string Name { get; set; } // The user name
    public string Email { get; set; } // The user Email
}

Authenticate 方法将 Signature 和 Message 属性作为 ecRecover 函数的输入， Authenticate2 方法将采用 Signature 和 Hash 属性。我稍后会解释其中的差异。

======================================================================

分享一些以太坊、EOS、比特币等区块链相关的交互式在线编程实战教程：

  • java以太坊开发教程，主要是针对 java 和android程序员进行区块链以太坊开发的web3j详解。
  • python以太坊，主要是针对 python 工程师使用web3.py进行区块链以太坊开发的详解。
  • php以太坊，主要是介绍使用 php 进行智能合约开发交互，进行账号创建、交易、转账、代币开发以及过滤器和交易等内容。
  • 以太坊入门教程，主要介绍智能合约与dapp应用开发，适合入门。
  • 以太坊开发进阶教程，主要是介绍使用node.js、 mongodb 、区块链、ipfs实现去中心化电商DApp实战，适合进阶。
  • C#以太坊，主要讲解如何使用C#开发基于.Net的以太坊应用，包括账户管理、状态与交易、智能合约开发与交互、过滤器和交易等。
  • EOS教程，本课程帮助你快速入门EOS区块链去中心化应用的开发，内容涵盖EOS工具链、账户与钱包、发行代币、智能合约开发与部署、使用代码与智能合约交互等核心知识点，最后综合运用各知识点完成一个便签DApp的开发。
  • java比特币开发教程，本课程面向初学者，内容即涵盖比特币的核心概念，例如区块链存储、去中心化共识机制、密钥与脚本、交易与UTXO等，同时也详细讲解如何在Java代码中集成比特币支持功能，例如创建地址、管理钱包、构造裸交易等，是Java工程师不可多得的比特币开发学习课程。
  • php比特币开发教程，本课程面向初学者，内容即涵盖比特币的核心概念，例如区块链存储、去中心化共识机制、密钥与脚本、交易与UTXO等，同时也详细讲解如何在Php代码中集成比特币支持功能，例如创建地址、管理钱包、构造裸交易等，是Php工程师不可多得的比特币开发学习课程。

汇智网原创翻译，转载请标明出处。这里是 原文


以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持 码农网

查看所有标签

猜你喜欢:

本站部分资源来源于网络，本站转载出于传递更多信息之目的，版权归原作者或者来源机构所有，如转载稿涉及版权问题，请联系我们。

码农书籍
白话机器学习算法

白话机器学习算法

[新加坡] 黄莉婷、[新加坡] 苏川集 / 武传海 / 人民邮电出版社 / 2019-2 / 49.00元

与使用数学语言或计算机编程语言讲解算法的书不同，本书另辟蹊径，用通俗易懂的人类语言以及大量有趣的示例和插图讲解10多种前沿的机器学习算法。内容涵盖k均值聚类、主成分分析、关联规则、社会网络分析等无监督学习算法，以及回归分析、k最近邻、支持向量机、决策树、随机森林、神经网络等监督学习算法，并概述强化学习算法的思想。任何对机器学习和数据科学怀有好奇心的人都可以通过本书构建知识体系。一起来看看 《白话机器学习算法》 这本书的介绍吧!

码农工具
在线进制转换器
在线进制转换器

各进制数互转换器

MD5 加密
MD5 加密

MD5 加密工具

XML 在线格式化
XML 在线格式化

在线 XML 格式化压缩工具

  • New
  • 文章
  • 话题
  • 教程
    • 关注 码农网 公众号
    版权所有，保留一切权利！© 2018-2024 码农网 粤ICP备17054400号-3