c# - 在 ASP.NET WebAPI 中检索不记名 token

Question

我有一个启用身份验证的 Web API(不记名 token )。这是由客户端应用程序调用的，我想保护它不被匿名使用，所以我想创建一个用户并为其创建一个持有者 token 。

我可以通过调用 register 和 token 方法来创建 token ，但我想从代码中执行此操作。

1. 据我所知，不记名 token 未存储在数据库中。能否使用 ASP.NET Identity API 以某种方式检索它？

2. 我还想通过代码创建此用户并将 token 保存在某处，因为我需要将数据库部署到多个服务器。

Answer 1

如果您只有一个客户端会与您的 API 对话，我不建议采用这种方法，我的理解是您需要发布一个非常非常长的访问 token ，可能持续一年，并继续使用此 token 访问后端API，对吗？如果这个 token 被盗了，你会怎么做？您无法撤销访问 token ，因此它有点像您的主 key (密码)。我的建议是使用 OAuth 刷新 token 和访问 token 。这取决于您的客户端类型，您可以在此处查看这是如何完成的 http://bitoftech.net/2014/07/16/enable-oauth-refresh-tokens-angularjs-app-using-asp-net-web-api-2-owin/刷新 token 可以被撤销，它们可以在很长一段时间后过期。如果您需要进一步的细节来实现这一点，请告诉我。