asp.net-mvc-3 – ASP.NET Web API问题 – 授权/认证

发布时间：2020-12-16 03:39:17 所属栏目：asp.Net 来源：网络整理

导读：我被要求为客户创建一个API.在开始之前,我有一些问题.我决定使用ASP.NET Web API技术.我已经创建了我的第一个方法,它工作正常,我能够以 XML / Json格式返回一组产品结果.问题是,访问我网站上的API的任何人都可以看到我的所有产品.我已经有了一个客户数据库,

我被要求为客户创建一个API.在开始之前,我有一些问题.我决定使用ASP.NET Web API技术.我已经创建了我的第一个方法,它工作正常,我能够以 XML / Json格式返回一组产品结果.问题是,访问我网站上的API的任何人都可以看到我的所有产品.我已经有了一个客户数据库,如何使用它,以便在访问我的API之前,他们必须设置一些凭据.

Web和桌面客户端都应该可以访问API

我想到的一种方法是,他们将用户名/密码作为参数传递,但这似乎不太安全/对吗？例如：api / products / GetById / 750？username = bob& pass = 123

解决方法

您可以使用AuthorizeAttribute来装饰您的控制器/操作.

[Authorize]
public IEnumerable<Product> Get() {...}

这可能会限制您的资源仅供经过身份验证的用户使用.

实际的身份验证方法是另一个故事.默认情况下,Web API使用基于cookie的ASP.NET表单身份验证,如果直接从html js Web客户端使用api,这很好.

另一方面,如果您的API将由桌面/移动应用程序或插件基本Web客户端使用,则使用HTTP基本身份验证可能会更好,因为您不必管理cookie(请记住在此方案中使用SSL).

您可能希望查看我在http://www.piotrwalat.net/basic-http-authentication-in-asp-net-web-api-using-membership-provider/的博客文章,其中显示了如何提供使用ASP.NET成员资格和角色提供程序的http基本身份验证.

（编辑：李大同）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!