如何保护Web API 2.0端点？

Question

我有几个Web PI端点当前使用访问密钥进行了保护。我不反对放弃这种安全模式。

现在，我们正在构建一个将消耗服务的Web应用程序。前端将有一个登录屏幕来保护应用程序的某些部分。我也想让Web API服务可供除我们自己之外的其他应用程序使用（认为公共API）。

我应该如何保护我的服务并允许从我们自己的Web UI和服务访问？

Answer 1

有很多方法可以保护Web API 2.0端点的安全。

看起来您已经使用访问密钥保护了您的端点，不知道您的客户如何知道访问密钥。

为您的Web应用程序，我会问：

1. 像你描述如何在用户登录？他们提供证书的权限是什么？您可以使用该权限将令牌附加到Web服务的请求中吗？

2. 你提到你也想通过公共API提供公共访问。他们有什么凭据？他们请求访问什么权限？您可以通过不同类型的凭据以多种方式进行设置，例如用户名和密码/客户端证书/访问密钥。

微软有对此，包括一些很好的资源：

http://channel9.msdn.com/Shows/Web+Camps+TV/Securing-ASPNET-Web-APIs

http://www.asp.net/web-api/overview/security

Answer 2

我能想到的：

• HTTP Basic Authentication
• OAuth/OpenID Connect
• Client and Server Certificates