api - 保护 Web API/ token 端点

Question

我有一个遵循此处概述的基本帐户身份验证过程的 Web API 项目:http://www.asp.net/web-api/overview/security/individual-accounts-in-web-api .我的问题是我应该使用 SSL(或其他方式)保护/Token enpoint 吗？否则，对“myURL/Token”的 API 调用只是通过明文发送，其正文中包含用户名和密码？

我在 Web API SSL 上阅读了这篇文章:http://www.asp.net/web-api/overview/security/working-with-ssl-in-web-api但我不知道应该将 [RequireHttps] 属性放在哪里，因为/Token enpoint 并不是真正的 Controller 操作。

感谢您提供的任何指导!

Answer 1

是的，您应该将 token 端点设置为安全的。

在 OAuthurizationServerOptions 下的 Setup.Auth.cs 文件中，您可以指定 Token 端点是否需要 SSL。

OAuthOptions = new OAuthAuthorizationServerOptions
  {
    TokenEndpointPath = new PathString("/Token"),
    Provider = new ApplicationOAuthProvider(PublicClientId),
    AuthorizeEndpointPath = new PathString("/api/Account/ExternalLogin"),
    AccessTokenExpireTimeSpan = TimeSpan.FromMinutes(20),
    AllowInsecureHttp = false
  }; 

AllowInsecureHttp 将强制 url 是否为 SSL。