c# - 如何保护将由移动应用程序和 Web 使用的 API

Question

我正在 ASP.Net 中构建一个将由网站和移动应用程序使用的 rest API。它的移动部分已完成，它会生成应用挂起的身份验证 token ，并将其作为每个请求的 header 发送到 API。

我现在正在尝试构建 API 的网络应用程序部分，并意识到我可能在 API 安全性方面犯了错误。在我看来，我不能简单地将 Auth Token 传回来回发送的 Web 应用程序，因为这会使我的 API 容易受到 CSRF 的攻击。我也无法让 API 检查来自移动设备的 cookie，因为移动设备无法设置 cookie。

保护此 API 以使其可以被网站和移动应用程序安全使用的最佳方法是什么？

Answer 1

事实证明，只要授权 key 在合理的时间内过期，使用 header 来回传递授权 key 就完全没问题。