WebApi、iOS 和 Forms Auth - 可以吗？

Question

我有一个单页 Web 应用程序，它通过 AJAX 调用 WebAPI 层来提供所有数据。 Web 应用通过以下方式对端点进行身份验证和授权：

WebSecurity.Login(model.Username, model.Password)

这样，我可以使用 MembershipProvider 来确定谁可以访问每个控制器级别的内容：

[HttpGet]
[Route("api/adminwork")]
[System.Web.Http.Authorize(Roles = "Administrator")]
public HttpResponseMessage DoWork() {
    ApiResponseDto result = _adminService.DoAdminWork();
    return Request.CreateResponse(HttpStatusCode.OK, result);
}

我正准备构建一个使用相同 API 的 iOS 应用程序。我希望我可以使用表单身份验证 + 会员提供者的这种机制将 cookie 附加到来自移动应用程序的所有请求，以与来自网络应用程序的请求相同的方式有效地处理请求（并最大限度地减少我的工作）。

有什么方法可以让 iOS 应用程序使用 ASPX cookie 来实现这一点？

Answer 1

好吧，您可以使用 WebView 来处理带有 cookie 的内容，但我认为这是一种非常不合适的方式来验证 api 用户。不安全的方式。

特别是，您应用的 MVC 部分可能会使用表单身份验证，它将凭据存储在 cookie 中。基于 Cookie 的身份验证需要使用防伪令牌，以防止 CSRF 攻击。这对 Web API 来说是个问题，因为 Web API 没有方便的方法将防伪令牌发送给客户端。 （有关此问题的更多背景信息，请参阅防止 Web API 中的 CSRF 攻击。）调用 SuppressDefaultHostAuthentication 可确保 Web API 不会受到来自存储在 cookie 中的凭据的 CSRF 攻击。

您应该改用基于令牌的方法。 Consider adding OAuth methods to your middleware