ReactJs与ASP.NET Web API多个外部身份验证提供程序

Question

我有一个带有Web API后端的ReactJs应用程序。使用外部登录提供程序（Google，Facebook和自定义SAML提供程序）在WebAPI端处理身份验证。

成功验证后，服务器会收到请求，并能够提取访问令牌，索赔等。

保护React和WebAPI之间通信的最佳策略是什么？ WebAPI是否也可以充当oauth服务器，或者具有访问令牌的请求是否应该重定向到React，以便它可以解析正文并提取令牌。