c# - Owin Web API Bearer Token 通过

Question

我在我的 OWIN/Web API/AngularJS 应用程序中使用 OAuth 不记名 token 身份验证流程。

我想做的是在服务器上重用承载 token 并将其传递给第二个 Web API 服务(另一台服务器上的另一项服务也受承载 token 保护并使用相同的机器 key )。我知道如何在 C# 中创建不记名 token 并将其添加到使用 HTTPClient 的请求 header 中 - 但我如何只使用我已经拥有的不记名 token (由浏览器请求传入)？这可能吗？

Answer 1

从技术上讲这是可能的，但很少是个好主意。您通常不会通过它，因为这会将您的后端 API 暴露给中间人攻击。在规范方法中，您将使用您收到的访问 token 返回到授权机构并请求一个新 token ，这次是针对您的后端。参见 https://github.com/Azure-Samples/active-directory-dotnet-webapi-onbehalfof举个例子。