DEV Community
·
在.NET 9中使用Pushed Authorization Requests：为何及如何使用
内容提要
.NET 9.0在ASP.NET Core中引入了Pushed Authorization Requests（PAR）支持，增强了OpenID Connect和OAuth 2.0的安全性，特别适用于金融和医疗等敏感领域。PAR通过直接将授权请求发送至授权服务器，降低了请求被篡改或泄露的风险。使用PAR无需额外代码，.NET 9默认支持，开发者可根据需求配置PAR行为。
关键要点
-
.NET 9.0在ASP.NET Core中引入了Pushed Authorization Requests（PAR）支持，增强了OpenID Connect和OAuth 2.0的安全性。
-
PAR特别适用于金融、医疗等敏感领域，降低了授权请求被篡改或泄露的风险。
-
使用PAR无需额外代码，.NET 9默认支持，开发者可根据需求配置PAR行为。
-
基本的OpenID Connect流程涉及用户、Web应用、授权服务器和API服务器。
-
OIDC流程中存在潜在的安全和隐私问题，如请求被篡改、来源不明和机密性缺失。
-
PAR通过将授权请求直接发送至授权服务器，避免了敏感信息的暴露和修改。
-
在.NET 9中，PAR支持默认启用，开发者无需修改代码即可享受更高的安全性。
-
开发者可以通过配置选项控制PAR行为，如禁用PAR或强制使用PAR。
-
可以处理onPushAuthorization事件来自定义发送至授权服务器的授权请求。
-
理解PAR的工作原理有助于调试和解决认证问题。
延伸解读
PAR的安全优势
Pushed Authorization Requests (PAR)通过直接将授权请求发送至授权服务器，显著降低了请求被篡改或泄露的风险。这一特性在金融和医疗等敏感领域尤为重要，能够有效保护用户的隐私和数据安全。
默认支持与配置灵活性
在.NET 9中，PAR支持默认启用，开发者无需额外代码即可享受更高的安全性。同时，开发者可以根据需求灵活配置PAR行为，选择禁用或强制使用PAR，增强了应用的适应性。
理解PAR的重要性
尽管PAR在.NET 9中默认启用，但开发者仍需理解其工作原理，以便在出现认证问题时进行有效调试。了解新流程有助于快速定位问题，避免因不熟悉新机制而造成的困扰。
延伸问答
Pushed Authorization Requests（PAR）是什么？
PAR是一种增强OAuth 2.0和OpenID Connect安全性的扩展，通过直接将授权请求发送至授权服务器，降低请求被篡改或泄露的风险。
在.NET 9中如何启用PAR支持？
在.NET 9中，PAR支持默认启用，开发者无需额外代码即可使用，配置选项可用于控制PAR行为。
PAR适合哪些应用场景？
PAR特别适用于金融、医疗等敏感领域，能够有效保护用户的隐私和数据安全。
PAR如何提高安全性？
PAR通过将授权请求直接发送至授权服务器，避免了敏感信息的暴露和修改，从而提高了安全性。
如果不想使用PAR，如何在.NET 9中禁用它？
可以通过设置options.PushedAuthorizationBehavior = PushedAuthorizationBehavior.Disable;来禁用PAR，强制使用传统的OIDC流程。
PAR的工作原理是什么？
PAR的工作原理是，Web应用将授权请求发送至授权服务器的PAR端点，获取请求标识符，然后浏览器使用该标识符进行后续请求，避免敏感信息暴露。
