c# - 人们如何处理 Web 服务的用户身份验证？

Question

我正在创建一个网络服务以通过可公开访问的 API 公开一些数据。在较高层面上，人们使用什么机制来保护他们的 API，以确保有效的、经过身份验证的用户进行调用？

服务将是 C#，消费者可以是任何东西(Facebook 或 iPhone 应用程序以及网站)，因此只有 Microsoft 的解决方案已经出局。

这不是一个新问题，所以我假设有一些标准做法可以处理它，但我的 google-fu 在这方面让我失望了。集体可以向我指出任何资源吗？谢谢。

Answer 1

您仍然可以使用成员(member)身份验证:有一个 Web 服务方法 Login(username, password)，在该方法中验证用户:

[WebMethod]
public bool Login( string username, string password)
{
    bool isValid = Membership.ValidateUser(username, password);
    if (isValid)
    {
        FormsAuthentication.SetAuthCookie(username, true);
        return true;
    }
    return false;
}

这应该可以做到 - 它将创建一个随请求一起传送的 cookie，并且在每个方法中您都可以检查 HttpContext.Current.User.IsAuthenticated。

void SomeWebMethodThatRequiresAuthentication(someparameter)
{
    if (HttpContect.Current.User.IsAuthenticated)
    {
        ... do whatever you need - user is logged in ...
    }
    else
    {
        .... optionally let user know he is not logged in ...
    }
}

我相信它可以与支持 cookie 的不同消费者一起工作，因为它需要做的就是让消费者将 auth cookie 连同请求一起发送到您的网络服务器。