如何保護Web API 2.0端點？

Question

我有幾個Web PI端點當前使用訪問密鑰進行了保護。我不反對放棄這種安全模式。

現在，我們正在構建一個將消耗服務的Web應用程序。前端將有一個登錄屏幕來保護應用程序的某些部分。我也想讓Web API服務可供除我們自己之外的其他應用程序使用（認爲公共API）。

我應該如何保護我的服務並允許從我們自己的Web UI和服務訪問？

Answer 1

有很多方法可以保護Web API 2.0端點的安全。

看起來您已經使用訪問密鑰保護了您的端點，不知道您的客戶如何知道訪問密鑰。

爲您的Web應用程序，我會問：

1. 像你描述如何在用戶登錄？他們提供證書的權限是什麼？您可以使用該權限將令牌附加到Web服務的請求中嗎？

2. 你提到你也想通過公共API提供公共訪問。他們有什麼憑據？他們請求訪問什麼權限？您可以通過不同類型的憑據以多種方式進行設置，例如用戶名和密碼/客戶端證書/訪問密鑰。

微軟有對此，包括一些很好的資源：

http://channel9.msdn.com/Shows/Web+Camps+TV/Securing-ASPNET-Web-APIs

http://www.asp.net/web-api/overview/security

Answer 2

我能想到的：

• HTTP Basic Authentication
• OAuth/OpenID Connect
• Client and Server Certificates