ASP.NET MVC和WebAPI之间的身份验证

Question

我目前正在为一些AJAX请求开发MVC5应用程序+ WebAPI。对于MVC部分，我使用标准Cookie身份验证和WebAPI部分的基于令牌的身份验证。 我希望用户只使用MVC站点登录，而无需再次向授权服务器进行身份验证以获取访问令牌。

在服务器端获取访问令牌是否安全，将它放在网站的隐藏字段中并使用java脚本查询并稍后用于Web api请求？假设连接是通过HTTPS，出于显而易见的安全原因:)

Answer 1

您可以通过安全令牌的API作为一个标题自定义属性的API，它可以预先检查，并将它缓存在所有后续调用API。