Question

我有一个asp.net Web API RESTful服务，该服务具有用于授权的基于OAuth2样式令牌的安全性。该服务将在我的软件的每个客户端上运行。

他们希望外部（即防火墙外部）访问它，我们将使用基于令牌的安全性，但也希望通过在其防火墙后运行的其他一些应用程序（其他非Windows服务）连接到它，并且由于这些应用程序以及IIS绑定中使用的终结点仅在其防火墙后面可用，因此请跳过使用任何身份验证/授权的步骤。

我也许允许这种情况的一种方法是检查请求到达哪个RequestUri，如果端点是防火墙访问背后的“内部”设置，那么我可以允许请求通过检查安全令牌，即在我的ClaimsAuthorizationManager.CheckAccess实例中返回true

这看起来安全吗？无论如何，是否有来自防火墙外部的人通过这个“不安全的”端点欺骗了进入思考的请求？

提前感谢您提供任何信息。

Answer 1

答案似乎是否。

我可以编辑本地主机文件，然后输入所需的内容。例如，如果我输入...

127.0.0.1 timmy.peepcee.com

我可以通过timmy.peepcee.com发送请求，IIS允许它进入，这就是我得到的RequestUri ...

似乎真的没有办法拥有多个身份验证方案。