我有多个Web Api（users.company.com/api/*,uvices.company.com/api/*）我正在从MVC应用程序（app.company.com）中的客户端代码调用它们住在不同的子域名中。 MVC应用程序和Web API使用Windows身份验证进行配置。在我访问MVC应用程序的手机上，我收到3个凭据提示。它们适用于app.company.com，users.company.com和facilities.company.com。在使用Chrome / IE的PC上我没有提示，因为浏览器处理单点登录，但Firefox没有。
如何安全地调用这些服务，以免在手机/ Firefox上多次提示用户？有没有办法将令牌从App传递到Web API，这样用户就不必登录了？ users.company.com API包含敏感数据，因此我不想允许匿名访问此服务。