asp.net-mvc-3 - ASP.NET Web Api - 从查询字符串值和 API 安全性授权

Question

在设计和学习 ASP.NET Web API 时，我遇到了一些需要帮助和讨论的挑战。

受此启发 excellent post在设计没有 OAuth 的安全 REST API 时，我想知道如何最好地验证我打算要求的各种 token 和信息。

简要总结是我将要求(在查询字符串中)以下信息..

用户 ID

api key

时间戳

基于用户已发布的 key 的签名散列，并与请求值一起散列

我的问题/想知道是这样的:

如果这是一种合理的方法，那么使用 ASP.NET Web API 实现它的最佳方法是什么？

我目前正在考虑使用一个可以标记我的方法的自定义属性，一种从查询字符串中获取所需的 Authorize 属性，或者一些包含所有值的 POCO 类型对象，我可以用来保留所有授权类型代码在一处。

有没有人对此有任何经验或想法？

谢谢 :)

Answer 1

目前，正如您可能已经看到的，AuthorizeAttribute方法用于 Web API。我认为这是一个相当好的方法，因为我们可以将此属性放在需要授权的单个项目上。

我已经通过扩展 System.Web.Http.Filters.AuthorizationFilterAttribute 完成授权.扩展后，所有授权细节都由您决定，您有很多方法可供选择。