【正文】 ntSecret from client where ClientIdentifier = ClientIdentifier)。amp。 } } return false。 此方法是查找數(shù)據(jù)庫中有無此客戶端記錄且密碼不為空,如果不為空且處于獲取授權(quán)碼階段,則會調(diào)用了IsAuthorizationValid方法private bool IsAuthorizationValid(HashSetstring requestedScopes, string clientIdentifier, DateTime issuedUtc, string username) { issuedUtc += (1)。 (CreatedOnUtc, issuedUtc)。 (OpenIDClaimedIdentifier, username)。 (select scope from [user] u )。 ( join Client c on = )。 ( and CreatedOnUtc = CreatedOnUtc)。 ( and = OpenIDClaimedIdentifier )。 if ( == 0) { return false。 foreach (DataRow dr in ) { ((dr[scope].ToString()))。 } ,則調(diào)用AuthorizationServer類的PrepareApproveAuthorizationRequest方法生成一個授權(quán)碼,并通過AuthorizationServer類Channel屬性的PrepareResponse方法最終返回給客戶端. 點擊后執(zhí)行OAuthController類的AuthorizeResponse方法,有刪節(jié).public ActionResult AuthorizeResponse(bool isApproved) { var pendingRequest = ()。 if (isApproved) { (ClientIdentifier, )。 (OpenIDClaimedIdentifier, )。 (CreatedOnUtc, )。 (userId, userId)。 (insert into ClientAuthorization values(null, CreatedOnUtc, clientId, userId, Scope, null))。 } else { response = (pendingRequest)。 } ,其名字是固定的. Layout = ~/Views/Shared/。 } h2 Authorize/h2 是否授權(quán) 訪問以下地址 hr / foreach (string scope in ) { scope br / } using ((AuthorizeResponse, OAuth)) { () (isApproved) (client_id, ) (redirect_uri, ) (state, ) (scope, ()) (response_type, == ? token : code) div input type=submit value=Yes onclick=(39。).value = true。 / input type=submit value=No onclick=(39。).value = false。 / /div } public ActionResult Token() { return ().AsActionResult()。 實際上由AuthorizationServer類的HandleTokenRequest方法處理,最終調(diào)用OAuth2AuthorizationServer類的CreateAccessToken方法創(chuàng)建訪問令牌并返回客戶端. 大體的服務(wù)端編程接口分析到此結(jié)束,下面我們深入源碼來理解這些關(guān)鍵類的架構(gòu)模式. ,public interface IChannelBindingElement { Channel Channel { get。 } MessageProtections Protection { get。 MessageProtections? ProcessIningMessage(IProtocolMessage message)。 而在Channel類中的關(guān)鍵部分如下private readonly ListIChannelBindingElement outgoingBindingElements = new ListIChannelBindingElement()。 protected Channel(IMessageFactory messageTypeProvider, params IChannelBindingElement[] bindingElements) { ... = new ListIChannelBindingElement(ValidateAndPrepareBindingElements(bindingElements))。 ()。... } ... } protected void ProcessOutgoingMessage(IProtocolMessage message) { foreach (IChannelBindingElement bindingElement in ) { ...MessageProtections? elementProtection = (message)。 ,內(nèi)容一樣,在發(fā)出響應(yīng)時會遍歷outgoingBindingElements集合并逐個調(diào)用ProcessOutgoingMessage方法對message進(jìn)行處理. 上面講過,客戶端發(fā)送請求后,由OAuthController類的Token方法響應(yīng)public ActionResult Token() { return ().AsActionResult()。 調(diào)用了AuthorizationServer類的HandleTokenRequest方法,有刪節(jié)public OutgoingWebResponse HandleTokenRequest(HttpRequestBase request = null) { try { if ((request, out requestMessage)) { var accessTokenResult = (requestMessage)。 } ... } if (requestMessage != null) { var directRequest = requestMessage as IHttpDirectRequest。 } } (requestMessage)。 } 回到HandleTokenRequest方法,當(dāng)其調(diào)用AuthorizationServerServices屬性的CreateAccessToken方法生成訪問令牌后,會調(diào)用Channel屬性的PrepareResponse方法生成響應(yīng)public OutgoingWebResponse PrepareResponse(IProtocolMessage message) { ... (message)。 switch () { case : result = (message)。 ... } [] = nocache, nostore, maxage=0, mustrevalidate。 return result。 我們在使用AuthorizationServer類時,然后傳入父類構(gòu)造函數(shù),最終會被添加到上文所說的Channel類的outgoingBindingElements集合與iningBindingElements集合中.protected internal OAuth2AuthorizationServerChannel(IAuthorizationServerHost authorizationServer, ClientAuthenticationModule clientAuthenticationModule) : base(MessageTypes, InitializeBindingElements(authorizationServer, clientAuthenticationModule)) { (authorizationServer, authorizationServer)。 } private static IChannelBindingElement[] InitializeBindingElements(IAuthorizationServerHost authorizationServer, ClientAuthenticationModule clientAuthenticationModule) { ... var bindingElements = new ListIChannelBindingElement()。 (new TokenCodeSerializationBindingElement())。 } 首先查看MessageValidationBindingElement類private readonly ClientAuthenticationModule clientAuthenticationModule。 } public override MessageProtections? ProcessIningMessage(IProtocolMessage message) { ... if (authenticatedClientRequest != null) { ... var result = (, authenticatedClientRequest, out clientIdentifier)。 即然是驗證客戶端,那么只需要在讀取請求時執(zhí)行即可,可以看到此類將實際驗證又委托給了ClientAuthenticationModule類的TryAuthenticateClient方法. protected static ClientAuthenticationResult TryAuthenticateClientBySecret(IAuthorizationServerHost authorizationServerHost, string clientIdentifier, string clientSecret) {...} } ,各自重寫的TryAuthenticateClient方法其際調(diào)用的都是基類的TryAuthenticateClientBySecret靜態(tài)方法.public class ClientCredentialHttpBasicReader : ClientAuthenticationModule { public override ClientAuthenticationResult TryAuthenticateClient(IAuthorizationServerHost authorizationServerHost, AuthenticatedClientRequestBase requestMessage, out string clientIdentifier) { ... var credential = ()。 return TryAuthenticateClientBySecret(authorizationServerHost, , )。 return 。 return TryAuthenticateClientBySecret(authorizationServerHost, , )。 有意思的是,在實際使用中實現(xiàn)了InitializeBindingElements接口的MessageValidationBindingElement類并不直接調(diào)用實現(xiàn)了ClientAuthenticationModule抽象類的上面的兩者,而是在中間又加入了一個AggregatingClientCredentialReader類,有點像代理模式,整個邏輯的關(guān)鍵代碼如下,有刪節(jié)public class AuthorizationServer { private readonly ListClientAuthenticationModule clientAuthenticationModules = new ListClientAuthenticationModule()。 public AuthorizationServer(IAuthorizationServerHost authorizationServer) { ((true))。 = new OAuth2AuthorizationServerChannel(authorizationServer, )。 internal static OAuth2AuthorizationServerSection Configuration { get { return (OAuth2AuthorizationServerSection)(SectionName) ?? new OAuth2AuthorizationServerSection()。 return configResult != null amp。 0 ? configResult : defaultClientAuthenticationModules。 可以看到,在創(chuàng)建AuthorizationServer類時,就會從OAuth2Authori