DEV Community
·
在.NET 9中使用Pushed Authorization Requests：为何及如何使用
💡
原文英文，约1800词，阅读约需7分钟。
📝
内容提要
.NET 9.0在ASP.NET Core中引入了Pushed Authorization Requests（PAR）支持，增强了OpenID Connect和OAuth 2.0的安全性，特别适用于金融和医疗等敏感领域。PAR通过直接将授权请求发送至授权服务器，降低了请求被篡改或泄露的风险。使用PAR无需额外代码，.NET 9默认支持，开发者可根据需求配置PAR行为。
🎯
关键要点
- .NET 9.0在ASP.NET Core中引入了Pushed Authorization Requests（PAR）支持，增强了OpenID Connect和OAuth 2.0的安全性。
- PAR特别适用于金融、医疗等敏感领域，降低了授权请求被篡改或泄露的风险。
- 使用PAR无需额外代码，.NET 9默认支持，开发者可根据需求配置PAR行为。
- 基本的OpenID Connect流程涉及用户、Web应用、授权服务器和API服务器。
- OIDC流程中存在潜在的安全和隐私问题，如请求被篡改、来源不明和机密性缺失。
- PAR通过将授权请求直接发送至授权服务器，避免了敏感信息的暴露和修改。
- 在.NET 9中，PAR支持默认启用，开发者无需修改代码即可享受更高的安全性。
- 开发者可以通过配置选项控制PAR行为，如禁用PAR或强制使用PAR。
- 可以处理onPushAuthorization事件来自定义发送至授权服务器的授权请求。
- 理解PAR的工作原理有助于调试和解决认证问题。
❓
延伸问答
Pushed Authorization Requests（PAR）是什么？
PAR是一种增强OAuth 2.0和OpenID Connect安全性的扩展，通过直接将授权请求发送至授权服务器，降低请求被篡改或泄露的风险。
在.NET 9中如何启用PAR支持？
在.NET 9中，PAR支持默认启用，开发者无需额外代码即可使用，配置选项可用于控制PAR行为。
PAR适合哪些应用场景？
PAR特别适用于金融、医疗等敏感领域，能够有效保护用户的隐私和数据安全。
PAR如何提高安全性？
PAR通过将授权请求直接发送至授权服务器，避免了敏感信息的暴露和修改，从而提高了安全性。
如果不想使用PAR，如何在.NET 9中禁用它？
可以通过设置options.PushedAuthorizationBehavior = PushedAuthorizationBehavior.Disable;来禁用PAR，强制使用传统的OIDC流程。
PAR的工作原理是什么？
PAR的工作原理是，Web应用将授权请求发送至授权服务器的PAR端点，获取请求标识符，然后浏览器使用该标识符进行后续请求，避免敏感信息暴露。
➡️
