Implementando um ApiKey - Authorize OU ApiKey

[rafaferreirasantos]

Relizei alguns testes, e o atributo APIKey não funciona quando existe também um atributo [Autorize].
Caso tenha o atributo [Autorize] e o [ApiKey] mesmo enviando a chave da API a requisição retorna 401.

Existe alguma forma de deixar o método/classe acessível OU com o token (usuário/senha) OU via APIKey?

[andrebaltieri]

Bom dia @zecaloteiro, como vai? Chegou a debugar para ver o que ocorre?
Qualquer coisa, dá uma comparada com o código do curso, o de lá está funcionando... deve ter ficado algo para trás no seu código...

[rafaferreirasantos]

Fala Balta tudo bem?
Revisei o código, mas não encontrei problemas.
Inclusive no vídeo do curso, você não faz esse teste de decorar o mesmo método com os 2 atributos para que seja acessível OU por um usuário autenticado OU por uma api..

Peguei o código do curso do repositório do curso e "decorei" um método com os 2 atributos [Authorization] e [ApiKey] também não funciona.

Minha intenção é disponibilizar o mesmo método para ser utilizado por um usuário autenticado OU por uma API, mas isso não funciona.

Não ficou claro no curso se isso é possível, ou se temos que ter métodos diferentes um pra cada tipo de autorização.

Pra mim faz todo sentido que um método com o decoration ["Authorize"] não funcione se não estiver com usuário e senha autenticados, pois não há nada no Atributo que criamos que ignore o ["Autorize"] caso encontremos a chave correta...

Se puder por favor esclarecer: Existe alguma forma de decorar um método com os 2 atributos para que no caso de um tiver sucesso o outro nem precise ser testado?

A ideia é algo do tipo:

[Authorize]
[ApiKey]
[HttpGet("produto")]
public IActionResult Produto()
{
    return Ok("Produto listado com sucesso tanto para uma consulta de API quando de um usuário logado.");
}

Obrigado.

[andrebaltieri]

Bom dia @zecaloteiro como vai?
Acho que não dá pra fazer isto desta forma.. o API Key autentica uma requisição, o Authorize autentica um usuário/role... são itens distintos...

O API Key você usaria por um outro App ou API por exemplo, para um acesso a determinados endpoints, um backoffice ou algo assim...
O Authorize você usaria para os usuários e perfis do site...

Mesmo que você consiga resolver este conflito entre APIKey e Authorize, no APIKey não teria o User.Identity.Name por exemplo, nem nada relacionado a Claims.

Minha sugestão: Separa a regra de negócio, remove ela do controller e cria dois endpoints separados, um para cada um desses caras.

[rabberto]

Olá Balta, boa noite.

Tentei fazer a implementação do ApiKey, mas minha var extractedApiKey sempre retorna vazia. O que posso esta fazendo de errado, o código esta exatamente igual ao seu:

using Microsoft.AspNetCore.Mvc;
using Microsoft.AspNetCore.Mvc.Filters;

namespace Blog.Attributes
{
[AttributeUsage(validOn: AttributeTargets.Class | AttributeTargets.Method)]
public class ApiKeyAttribute : Attribute, IAsyncActionFilter
{
public async Task OnActionExecutionAsync(ActionExecutingContext context, ActionExecutionDelegate next)
{
if (!context.HttpContext.Request.Query.TryGetValue(Configuration.ApiKeyName, out var extractedApiKey))
{
context.Result = new ContentResult()
{
StatusCode = 401,
Content = "ApiKey não encontrada"
};
return;
}

        if (!Configuration.ApiKey.Equals(extractedApiKey))
        {
            context.Result = new ContentResult()
            {
                StatusCode = 403,
                Content = "Acesso não autorizado"
            };
            return;
        }

        await next();
    }
}

}

[andrebaltieri]

@rabberto consegue rodar o código do curso e ver se nele funciona aí? Pode ser algum caractere na sua API Key ou algo que ficou para trás durante a escrita do código.

[rabberto]

Balta encontrei o erro... ¬¬
A senha que estava tentando utilizar: #OIERUT42jASUhfS6E%jZkEdAj!!ddW^r7^^
Basicamente eu peguei uma gerada na net e coloquei, e nem me toquei nos caracteres, como começa com # já vinha toda vazia...
Muito obrigado pelo retorno, abraço.