我可以从一个 Web 应用程序跨多个服务使用身份验证吗？

Question

这似乎是一种常见的情况，但我不知道如何让它发挥作用。

我有一个位于源 1 的通用 Web 服务。我希望这在多个 Web 应用程序之间是通用的。它已开启身份验证。

然后我的 Web 应用程序位于源 2。我希望这个 Web 应用程序在源 1 对 Common 进行一些调用（通过 javascript）

如果我关闭源 1 的 Common 身份验证，这些调用工作正常。如果我打开它，它会失败，因为 Web 应用程序不会跨源发送身份验证 cookie（或令牌？）。

构建这个的正确方法是什么？

Answer 1

您想研究所谓的委托。场景是这样的：

1. 用户在前端应用中针对 AAD 进行身份验证
2. 颁发的令牌对前端应用和后端应用（这是委托）有效
3. 您使用提供的令牌并将其转发到后端应用程序并代表用户发出请求

here 描述了如何设置此场景，但您确实不需要中间的 API 管理。如果您也想将自己的 API 暴露给外部世界，或者有多个 API 需要充当一个门面，那么使用 APIM 的原因是有道理的。