asp.net - .NET Web API + 静态 HTML + JS 的最佳身份验证方式

Question

我正在开发一个使用 REST .NET Web API 的 Web 应用程序。我的 Web API 是无状态的，我使用的是静态 HTML 和 JQuery 请求。

问题....进行登录/密码验证的最佳方法是什么？

申请流程:

1. API XHR 请求
2. 状态为 401 的 API 响应
3. JS重定向到登录页面
4. API 身份验证 XHR 请求(使用登录名和密码)
5. 带有 token 的 API 响应
6. 新的 API XHR 请求(带 token )
7. API 响应数据

Answer 1

我相信这里的答案是视情况而定；这实际上取决于 API 背后的信息有多敏感。

如果我们谈论的是非常敏感的数据，我会实现模型 Amazon uses

对于大多数网站，您所描述的都很好。我会使用 https 来提高安全性。您可以在 cookie 中或作为自定义 header 传输您的加密 token 。

在您的 API Controller 中，您可以使用 [Authorize] 属性来限制对那些需要身份验证的端点的访问。

您可以公开一个处理所有请求并在 token 无效时以 401 响应的委托(delegate)处理程序，或者设置当前委托(delegate)人以便满足 Authorize 属性。

如果您需要任何代码示例，请告诉我，我以前做过。