概述Web API，是一个能让前后端分离、解放前后端生产力的好东西。不过大部分公司应该都没能做到完全的前后端分离。API的实现方式有很多，可以用ASP.NET Core、也可以用ASP.NET Web API、ASP.NET MVC、NancyFx等。说到Web API，不同的人有不同的做法，可能前台、中台和后台各一个api站点，也有可能一个模块一个api站点，也有可能各个系统共用一个api站点，当然这和业务有必然的联系。安全顺其自然的成为Web API关注的重点之一。现在流行的OAuth 2.0是个很不错的东西，不过本文是暂时没有涉及到的，只是按照最最最原始的思路做的一个
授权验证。在之前的MVC中，我们可能是通过过滤器来处理这个身份的验证，在Core中，我自然就是选择Middleware来处理这个验证。下面开始本文的正题：先编写一个能正常运行的api，不进行任何的权限过滤。1 using Dapper;2 using Microsoft.AspNetCore.Mvc;3 using System.Data;4 using System.Linq;5 using System.Threading.Tasks;6 using WebApi.CommandText;7 using WebApi.Common;8 using Common;910 namespace WebApi.Controllers11 {12 [Route("api/[controller]")]13 public class BookController : Controller14 {1516 private DapperHelper _helper;17 public BookController(DapperHelper helper)18 {19 this._helper = helper;20 }2122 // GET: api/book23 [HttpGet]24 public async Task<IActionResult> Get()25 {26 var res = await _helper.QueryAsync(BookCommandText.GetBooks);27 CommonResult<Book> json = new CommonResult<Book>28 {29 Code = "000",30 Message = "ok",31 Data = res32 };33 return Ok(json);34 }3536 // GET api/book/537 [HttpGet("{id}")]38 public IActionResult Get(int id)39 {40 DynamicParameters dp = new DynamicParameters();41 dp.Add("@Id", id, DbType.Int32, ParameterDirection.Input);42 var res = _helper.Query<Book>(BookCommandText.GetBookById, dp, null, true, null, CommandType.StoredProcedure).FirstOrDefault();43 CommonResult<Book> json = new CommonResult<Book>44 {45 Code = "000",46 Message = "ok",47 Data = res48 };49 return Ok(json);50 }5152 // POST api/book53 [HttpPost]54 public IActionResult Post([FromForm]PostForm form)55 {56 DynamicParameters dp = new DynamicParameters();57 dp.Add("@Id", form.Id, DbType.Int32, ParameterDirection.Input);58 var res = _helper.Query<Book>(BookCommandText.GetBookById, dp, null, true, null, CommandType.StoredProcedure).FirstOrDefault();59 CommonResult<Book> json = new CommonResult<Book>60 {61 Code = "000",62 Message = "ok",63 Data = res64 };65 return Ok(json);66 }6768 }6970 public class PostForm71 {72 public string Id { get; set; }73 }7475 }api这边应该没什么好说的，都是一些常规的 *** 作，会MVC的应该都可以懂。主要是根据id获取图书信息的方法(GET和POST)。这是我们后面进行单元测试的两个主要方法。这样部署得到的一个API站点，是任何一个人都可以访问http://yourapidomain.com/api/book 来得到相关的数据。现在我们要对这个api进行一定的处理，让只有权限的站点才能访问它。下面就是编写自定义的授权验证中间件了。Middleware这个东西大家应该都不会陌生了，OWIN出来的时候就有中间件这样的概念了，这里就不展开说明，在ASP.NET Core中是如何实现这个中间件的可以参考官方文档 Middleware。 我们先定义一个我们要用到的option，ApiAuthorizedOptions1 namespace WebApi.Middlewares2 {3 public class ApiAuthorizedOptions4 {5 //public string Name { get; set; }67 public string EncryptKey { get; set; }89 public int ExpiredSecond { get; set; }10 }11 }option内容比较简单，一个是EncryptKey ，用于对我们的请求参数进行签名，另一个是ExpiredSecond ，用于检验我们的请求是否超时。与之对应的是在appsettings.json中设置的ApiKey节点1 "ApiKey": {2 //"username": "123",3 //"password": "123",4 "EncryptKey": "@*api#%^@",5 "ExpiredSecond": "300"6 }有了option，下面就可以编写middleware的内容了我们的api中就实现了get和post的方法，所以这里也就对get和post做了处理，其他http method，有需要的可以自己补充。这里的验证主要是下面的几个方面：1.参数是否被篡改2.请求是否已经过期3.请求的应用是否合法主检查方法：Check1 /// <summary>2 /// the main check method3 /// </summary>4 /// <param name="context"></param>5 /// <param name="requestInfo"></param>6 /// <returns></returns>7 private async Task Check(HttpContext context, RequestInfo requestInfo)8 {9 string computeSinature = HMACMD5Helper.GetEncryptResult($"{requestInfo.ApplicationId}-{requestInfo.Timestamp}-{requestInfo.Nonce}", _options.EncryptKey);10 double tmpTimestamp;11 if (computeSinature.Equals(requestInfo.Sinature) &&12 double.TryParse(requestInfo.Timestamp, out tmpTimestamp))13 {14 if (CheckExpiredTime(tmpTimestamp, _options.ExpiredSecond))15 {16 await ReturnTimeOut(context);17 }18 else19 {20 await CheckApplication(context, requestInfo.ApplicationId, requestInfo.ApplicationPassword);21 }22 }23 else24 {25 await ReturnNoAuthorized(context);26 }27 }Check方法带了2个参数，一个是当前的httpcontext对象和请求的内容信息，当签名一致，并且时间戳能转化成double时才去校验是否超时和Appli
Web API，是一个能让前后端分离、解放前后端生产力的好东西。不过大部分公司应该都没能做到完全的前后端分离。API的实现方式有很
多，可以用ASP.NET Core、也可以用ASP.NET Web API、ASP.NET MVC、NancyFx等。说到Web API，不同的人有不同的做法，可能前台、
中台和后台各一个API站点，也有可能一个模块一个API站点，也有可能各个系统共用一个API站点，当然这和业务有必然的联系。
安全顺其自然的成为Web API关注的重点之一。现在流行的OAuth 2.0是个很不错的东西，不过本文是暂时没有涉及到的，只是按照最最最
原始的思路做的一个授权验证。在之前的MVC中，我们可能是通过过滤器来处理这个身份的验证，在Core中，我自然就是选择MIDdleware来处
理这个验证。
下面开始本文的正题：
先编写一个能正常运行的API，不进行任何的权限过滤。
[Route( ._helper = Task@H_419_81@ res = CommonResult Json = CommonResult Code = Message = Data = [httpGet( IActionResult Get( DynamicParameters dp = dp.Add( res = _helper.query(BookCommandText.GetBookByID,dp,,, CommonResult Json = CommonResult Code = Message = Data = DynamicParameters dp = dp.Add( res = _helper.query(BookCommandText.GetBookByID,CommandType.StoredProcedure).FirstOrDefault(); CommonResult Json = CommonResult Code = Message = Data = ID { ; } API这边应该没什么好说的，都是一些常规的 *** 作，会MVC的应该都可以懂。主要是根据ID获取图书信息的方法(GET和POST)。这是我们后面进行单元测试的两个主要方法。这样部署得到的一个API站点，是任何一个人都可以访问http:///api/book 来得到相关
的数据。现在我们要对这个api进行一定的处理，让只有权限的站点才能访问它。
下面就是编写自定义的授权验证中间件了。 Middleware这个东西大家应该都不会陌生了，OWIN出来的时候就有中间件这样的概念了，这里就不展开说明，在ASP.NET Core中是如何
实现这个中间件的可以参考官方文档 。
我们先定义一个我们要用到的option，APIAuthorizedOptions
EncryptKey { ; ExpiredSecond { ; } option内容比较简单，一个是EncryptKey ，用于对我们的请求参数进行签名，另一个是ExpiredSecond ，用于检验我们的请求是否超时。
与之对应的是在appsettings.Json中设置的APIKey节点
