在ASP.NET MVC Web API服务和MVC客户端体系结构中实现身份验证和

要回答您当前的问题：

1一般来说,您总是希望使用身份验证来保护您的Api,因为它是您访问数据的地方.您的客户端(MVC应用程序/智能手机)应授权自己访问您的Api.

2& 3
由于您使用的是REST Api,我建议您保持Api无状态,换句话说,不要保留任何会话信息.只需在令牌中包含您需要的角色数据即可.你可以使用例如JSON Web Token.

4
我总是使用授权标头来发送授权数据.在DelegatingHandler中(注意差异MessageHandler MVC,DelegatingHander HTTP),您可以简单地检索标头.

protected override Task<HttpResponseMessage> SendAsync(
        HttpRequestMessage request,CancellationToken cancellationToken)
 {
    var authorizationHeader = request.Headers.Authorization;
    // Your authorization logic.

    return base.SendAsync(request,cancellationToken);
 }

有关如何在ajax调用中包含授权标头的详细信息,请参阅：How to use Basic Auth with jQuery and AJAX?

额外信息：

如果我是你,我还会看一下Thinktecture的Identity Server：https://github.com/thinktecture/Thinktecture.IdentityServer.v2

也许这个关于REST服务身份验证的答案也会对你有所帮助：
REST service authentication