如何在角度资源中设置 owin 令牌身份验证标头

Question

我对我目前的工作非常陌生。我可能解释得不好，但就我所知，我想把我的理解放在同样的地方。

我正在为 web api 使用基于 Owin 令牌的身份验证，对于登录，我正在调用返回访问令牌的令牌方法。我想知道如何保护我们的 web api，以便在没有访问令牌的情况下不允许调用 web api 方法。我正在使用 angular js 资源，我相信我们需要在 angularjs 服务部分定义标头，但是我不知道在哪里以及如何确切地知道，任何人都可以帮我解决这个问题。

例子：-

这是我用 angularjs 编写的服务，

sghServices.factory('GlobalSettingsService', function ($resource) {
return $resource("../Api/eClaim/SecondGlobalSettings",
    {},
    {
        post: {
            method: 'POST', isArray: false,
            headers: { 'Content-Type': 'application/json' }
        },
        update: {
            method: 'PUT'
        }
    });
});

这是web api方法

[Authorize]        
[Route("~/Api/eClaim/GlobalSettings")]
[HttpGet]
public ReportAndeCliam GetGlobalSettings()
{
    //Code Wriiten here
}

到目前为止，我可以在没有访问令牌的情况下访问 web api，如果令牌不可用，我想以这样的方式进行设计，它不应该允许使用 [Authorized] web api 方法。

在此先感谢 :)

Answer 1

在 api 中创建过滤器类，如下所示。

public class AuthorizeAPIAttribute : AuthorizationFilterAttribute
{
    /// <summary>
    /// Calls when a process requests authorization.
    /// </summary>
    /// <param name="actionContext">The action context, which encapsulates information for using <see cref="T:S:System.Web.Http.Filters.AuthorizationFilterAttribute" />.</param>
    public override void OnAuthorization(System.Web.Http.Controllers.HttpActionContext actionContext)
    {
        if (!ConfigItems.APISecurityEnable)
        {
            return;
        }

        var headers = actionContext.Request.Headers;
        var security = headers.Any(x => x.Key == "Security");
        if (security)
        {
            var value = headers.FirstOrDefault(x => x.Key == "Security").Value.FirstOrDefault();
            if (value != null)
            {
                string token = value;
                if (token == ConfigItems.APIToken)
                {
                    return;
                }
            }
        }

        actionContext.Response = new HttpResponseMessage(System.Net.HttpStatusCode.Unauthorized);
        actionContext.Response.Content = new StringContent("Security Failed", Encoding.UTF8, "application/json");
        base.OnAuthorization(actionContext);
    }
}

ConfigItems 类

/// <summary>
/// ConfigItems class
/// </summary>
public class ConfigItems
{
    /// <summary>
    /// Gets a value indicating whether API Security Enable
    /// </summary>
    public static bool APISecurityEnable
    {
        get
        {
            if (Convert.ToBoolean(WebConfigurationManager.AppSettings["APISecurityEnable"]))
            {
                return true;
            }
            else
            {
                return false;
            }
        }
    }

    /// <summary>
    /// Gets a value APIToken
    /// </summary>
    public static string APIToken
    {
        get
        {
            return WebConfigurationManager.AppSettings["APIToken"];
        }
    }
}

你可以像这样在控制器中使用它。

[AuthorizeAPIAttribute]
public class MainController : ApiController
{
}

现在，当您从 Angular 服务传递安全密钥时，该服务将签入上述过滤器。

angular.module('userApp').factory('httpRequestInterceptor', function () {
    return {
        request: function (config) {
            config.headers['Security'] = "Key";
            return config;
        }
    };
});
angular.module('userApp', ['ngAnimate', 'ngRoute', 'angular.filter']).config(['$httpProvider', function ($httpProvider) {
    $httpProvider.interceptors.push('httpRequestInterceptor');
}]);

如上所述，您可以在项目中全局设置安全密钥。