c# - 验证站点/应用程序以访问 Web API 服务

Question

简短的问题:我有一个 .NET 中的 Web API 服务，以及一个仅使用 HTML 和 AngularJS 制作的网站。

如何授权我的服务只能在我的网站上使用？

---

我正在寻找一个似乎很常见但实际上并不常见的问题的安全答案。最近看了很多答案，想法，各种东西，都找不到解决办法。

假设我有一个来自 MS 的 Web Api 服务(最新的)。所以我必须让需要使用它的应用程序。让我们定义两个场景。

场景 1:

在同一个 IIS 中，我有一个 ASP.NET MVC 3/4，其特殊性是所有 MVC 工作都在客户端，由 AngularJS 制作，因此应用程序直接从 JavaScript 指向 Web Api 服务。

场景 2:

我有一个直接指向 Web Api 服务的第三方应用程序，位于其他网络/站点/任何不相关的地方。

所以，我的问题是:

如何验证两个系统，以便 Web Api 服务提供对两个系统的访问权限(我不在乎是否以相同的方式)，并且不向使用 REST 客户端的人提供访问权限，并使用用户/密码授权登录到站点？我希望这两个例子都能说明我感兴趣的要点。

请在下面评论您需要以更好的方式改进此问题的任何内容!

顺便说一句，不，不能使用混淆。我想到了一个令人耳目一新的 token ，但我想不出来。

Answer 1

我将如何使用您的场景 1 设置身份验证:

我将强制静态文件通过服务器以确保身份验证

Web.config

<compilation>
    <buildProviders>
        <add extension=".html" type="System.Web.Compilation.PageBuildProvider" />
        <add extension=".htm" type="System.Web.Compilation.PageBuildProvider" />
    </buildProviders>
</compilation>

<system.webServer>
     <handlers>
         <add name="HTML" path="*.html" verb="GET, HEAD, POST, DEBUG"   type="System.Web.UI.PageHandlerFactory" resourceType="Unspecified" requireAccess="Script" />
         <add name="HTM" path="*.htm" verb="GET, HEAD, POST, DEBUG" type="System.Web.UI.PageHandlerFactory" resourceType="Unspecified" requireAccess="Script" />
     </handlers>
</system.webServer>

这将允许我设置 <authentication>和 <authorization>在我的 web.config 中，如:

<authorization>
  <allow roles="demo" />
</authorization>

或

 <authorization>
   <deny users="?" />
 </authorization>

此外，我将设置我的登录页面:

<authentication mode="Forms">
      <forms  path="/" loginUrl="~/login"..

对于场景 2:

您可能需要启用 CORS，如果是这种情况，您需要:

设置配置选项 config.EnableCors();在你的Register方法;您还需要通过使用 [EnableCors] 属性以及 Controller 的声明在 ApiController 中启用 CORS，这是我如何操作的示例:

 [EnableCors(origins: "http://localhost:49595", headers: "*", methods: "*")]
 public class ValuesController : ApiController
 {
 ...

最后，为了保护 WebApi，我们需要使用属性 [Authorize]在 Controller 中，很可能您需要定义自定义身份验证方法来授权您的第二个调用者。您可以按照以下步骤操作:

• How to set up WebApi Custom Authorization