Asp.Net Core + Angular =保護Api而不登錄

Question

我有一個.net核心+角度應用程序，沒有登錄功能。 我不需要登錄，但我想要一個「管理面板」類型的功能。

例如，我想添加職位到我的網站。

據我所知，我不能使用API​​/addpost/myPassword或任何複雜的字符串只知道我 ，因爲有辦法看到這一點。 如何保護我的api而不實現註冊/登錄功能？

謝謝！

Answer 1

有幾件事你可以做。

您可以做的最簡單的事情是創建一個自定義ActionFilterAttribute，在輸入API控制器方法之前驗證您的服務調用。

我已經在這裏使用了一個Guid的值，但你可以使用任何東西。

[AttributeUsage(AttributeTargets.Class | AttributeTargets.Method)] 
public sealed class CustomValidateRequestAttribute : ActionFilterAttribute 
{ 

    public override void OnActionExecuting(HttpActionContext actionContext) 
    { 
      var headerValue = actionContext.Request.Headers.FirstOrDefault(item => item.Key == "validation-value").Value?.FirstOrDefault(); 
      Guid guidValidationValue; 

      if (string.IsNullOrWhiteSpace(headerValue) && !Guid.TryParse(headerValue , out guidValidationValue)) 
      { 
       throw new UnauthorizedAccessException(); 
      } 

      base.OnActionExecuting(actionContext); 
     } 
    } 

您將在您的API控制器中將此自定義屬性添加到AddPost方法中。

[HttpPost] 
[CustomValidateRequest] 
public async Task<IHttpActionResult> AddPost...//rest of your code 

在您的客戶端服務中，您必須將此標頭值添加到標頭。喜歡的東西：

addPosts(url, data) { 
    let headers = new Headers(); 
    headers.append('validation-value', 'your-guid-value-or-something-else'); 
    return this.http.post(url, { 
     headers: headers 
    }); 
    } 

對於更復雜的，更安全的選擇，你可以看看如何實現防僞中間件here和here。