security - 如何从 RESTful 服务发送安全 token ？

Question

我正在使用 ASP.NET Web API 和基于自定义 token 的身份验证构建 RESTful 服务。客户端将在第一次调用时发送凭据。该服务将使用用户详细信息创建一个加密 token ，此 token 将用于从此时开始的身份验证。现在服务需要将此 token 发送回客户端。最初我将 token 保存在 HTTP 自定义响应 header 中，以便客户端可以读取独立于服务返回的数据的值。这在客户端和服务在同一个域中时效果很好，但在跨域场景中失败了。我启用了 CORS 服务并添加了各种 header ，例如“Access-Control-Expose-Headers”、“Access-Control-Allow-Origin: *”等。但是跨域客户端无法读取自定义响应 header 我创建的是“SecureToken:”。我在几篇文章中看到，Web 浏览器在跨域场景中读取自定义响应 header 时存在一些问题。所以现在我正在考虑通过从服务发送的所有 ViewModel/数据对象的公共(public)基类发送安全 token 。

在这种情况下，我有几个问题:

1. 发送自定义安全 token 的最佳位置是什么。它是在响应 header 中还是作为 ViewModel/数据类基类中的公共(public)属性？

2. 是否有一个标准的 HTTP 响应 header ，我可以使用它来发送 token 和自定义信息，以便跨域客户端也可以读取它？

任何帮助将不胜感激!谢谢!

Answer 1

Authorization header 就是为此而设计的。检查section 14.8在此链接中了解有关如何使用它的详细信息。