安全 MVC Web API 控制器 [关闭]

Question

如果我的 MVC 应用程序中有一个 Web API 控制器，并且我通过 jQuery $ajax 向它调用 GET 请求，我如何验证调用以确保它来自我的应用程序？

我需要检查它来自的 IP 吗？我可以使用 AntiForgeryToken 吗？

我基本上希望 API 控制器只允许来自我的应用程序的请求，而不是来自只知道端点的其他人的请求。我不希望人们能够复制 API 调用。

Answer 1

您可以使用 CORS 来限制来自其他来源的呼叫。除了 CORS，您还应该使用身份验证保护 api（以防止未经身份验证的访问）。

要禁用来自不同来源的请求，您可以在您的 web api (web api 2) 上使用 [DisableCors] 属性示例如下。默认情况下，CORS 被禁用。如果它在较高级别（前控制器）启用并且您想在较低级别（ex-action）进行限制，则应使用此属性

[DisableCors]
public class UsersController : ApiController
{
    public HttpResponseMessage GetUser(int id) { ... }
}

启用从http://contoso.com 访问此控制器

[EnableCors(origins: "http://www.contoso.com", headers: "*", methods: "*")]    
public class UsersController : ApiController
{
   public HttpResponseMessage GetUser(int id) { ... }
}