使用非常规身份验证方法保护.NET 4.0 Web API的建议方法是什么？

Question

我一直在研究保护Web API，所有文章和书籍都指向使用OAuth。但oauth不适合我的场景，因为我不需要另一个系统来验证用户。

另一个复杂因素是我们使用钱包问题而不是用户名/密码来验证用户。

我的应用程序是一个带有.NET 4.0 Web API后端的Angular UI前端。 我正在考虑在JWT中实现令牌和基于声明的身份验证以传递为令牌令牌，但我无法找到.NET 4.0 Web API 1的良好资源/示例。我在.NET上看过很多好文章4.5和OWIN中间件，但这些中间件都不能在.NET 4.0中使用。

我还是WEB API世界的新手，所以这是我的问题。

1. 这是保护Web API 1的推荐方法，如果没有，您会推荐什么？

2. 您能否为Web API 1安全性提供一些好的文章/示例？

3. 我正在考虑使用Thinktecture.IdentityModel.40，我再也找不到.NET 4.0版的好样本了。

Answer 1

您可以使用请求过滤器从HTTP标头中获取令牌。可能是最简单的方法。

Web api具有身份验证过滤器。

http://www.asp.net/web-api/overview/security/authentication-filters