c# - 从 MVC 应用程序中的客户端和 Controller 调用 ASP.NET WebAPI 的安全问题

Question

我有一个 ASP.NET Core Web API 应用程序，它与我的 ASP.NET Core MVC 应用程序 (UI) 是分开的。出于多种原因，我不想将它们结合起来，因为将来许多不同的客户端可能需要访问 API。

MVC 应用程序以两种不同的方式调用 API:
1. 在 MVC Controller 中使用 System.Net.HttpClient 来填充 View 模型。
2. 在进行 jQuery AJAX 调用时，我认为最好直接调用 API。 (注意:我启用了 CORS 以允许来自 MVC 应用程序的调用)。这与 Angular 客户端直接调用 API 是一样的。

我的问题:
当不使用 AJAX 并仅加载 View 数据时，我正在做的很常见的事情是使用 jQuery 和 Controller 中的 System.Net.HttpClient 直接从客户端调用 API。 AJAX 调用是否应该先转到 MVC Controller ，然后让它们 MVC Controller 使用 System.Net.HttpClient 发出 DELETE 请求，这样我就不会直接从客户端调用 API？

安全问题是什么？我有点紧张直接从 jQuery 调用 API。我觉得任何人都可以假装他们是 localhost:6000(我的 MVC 端口)并向 localhost:6001/api/users/1(我的 API 端口)发出 DELETE 请求。

Answer 1

你对此的关注是完全正确的。您应该保护您的应用程序免受此影响，确保访问这些 API 方法的任何请求都已获得授权。

我推荐阅读 10 Points to Secure Your ASP.NET MVC Applications.有关如何保护您的应用程序免受此类攻击和其他几个常见安全漏洞的概述。