如何保护Web API公开的RESTful Web服务？

Question

我的ASP.NET应用程序中有API控制器公开的REST Web服务。这些服务对于我将业务层与视图层同步非常有用。 现在我想让它们更安全，因为我觉得我的所有数据都被曝光，任何人都可以访问它们，只要他键入Web服务的http url。我的网络服务是否有用户名/密码安全机制？或者这是通过IIS的某种配置完成的吗？

Answer 1

如果您想创建自己的安全机制，那么使用http标头中的令牌进行身份验证并不困难。例如，您可以使用公钥/私钥方案并散列一些经常更改的项目，例如DateTime和输入参数以及资源URL本身。

.Net提供了在到达服务方法之前进行安全检查的方法，因此您甚至不必在每种方法的http标头中检查令牌。只有在请求通过身份验证时才会调用它们。