简短的问题: 我有一个 .NET 中的 Web API 服务,以及一个仅使用 HTML 和 AngularJS 制作的网站。
如何授权我的服务只能在我的网站上使用?
我正在寻找一个似乎很常见但实际上并不常见的问题的安全答案。最近看了很多答案,想法,各种东西,都找不到解决办法。
假设我有一个来自 MS 的 Web Api 服务(最新的)。 所以我必须让需要使用它的应用程序。让我们定义两个场景。
场景 1:
在同一个 IIS 中,我有一个 ASP.NET MVC 3/4,其特殊性是所有 MVC 工作都在客户端,由 AngularJS 制作,因此应用程序直接从 JavaScript 指向 Web Api 服务。
场景 2:
我有一个直接指向 Web Api 服务的第三方应用程序,位于其他网络/站点/任何不相关的地方。
所以,我的问题是:
如何验证两个系统,以便 Web Api 服务提供对两个系统的访问权限(我不在乎是否以相同的方式),并且不向使用 REST 客户端的人提供访问权限,并使用用户/密码授权登录到站点?我希望这两个例子都能说明我感兴趣的要点。
请在下面评论您需要以更好的方式改进此问题的任何内容!
顺便说一句,不,不能使用混淆。 我想到了一个令人耳目一新的 token ,但我想不出来。
最佳答案
我将如何使用您的场景 1 设置身份验证:
我将强制静态文件通过服务器以确保身份验证
Web.config
<compilation>
<buildProviders>
<add extension=".html" type="System.Web.Compilation.PageBuildProvider" />
<add extension=".htm" type="System.Web.Compilation.PageBuildProvider" />
</buildProviders>
</compilation>
<system.webServer>
<handlers>
<add name="HTML" path="*.html" verb="GET, HEAD, POST, DEBUG" type="System.Web.UI.PageHandlerFactory" resourceType="Unspecified" requireAccess="Script" />
<add name="HTM" path="*.htm" verb="GET, HEAD, POST, DEBUG" type="System.Web.UI.PageHandlerFactory" resourceType="Unspecified" requireAccess="Script" />
</handlers>
</system.webServer>
这将允许我设置 <authentication>
和 <authorization>
在我的 web.config 中,如:
<authorization>
<allow roles="demo" />
</authorization>
或
<authorization>
<deny users="?" />
</authorization>
此外,我将设置我的登录页面:
<authentication mode="Forms">
<forms path="/" loginUrl="~/login"..
对于场景 2:
您可能需要启用 CORS,如果是这种情况,您需要:
设置配置选项 config.EnableCors();
在你的Register
方法;您还需要通过使用 [EnableCors] 属性以及 Controller 的声明在 ApiController 中启用 CORS,这是我如何操作的示例:
[EnableCors(origins: "http://localhost:49595", headers: "*", methods: "*")]
public class ValuesController : ApiController
{
...
最后,为了保护 WebApi,我们需要使用属性 [Authorize]
在 Controller 中,很可能您需要定义自定义身份验证方法来授权您的第二个调用者。您可以按照以下步骤操作:
关于c# - 验证站点/应用程序以访问 Web API 服务,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/23718130/