使用 Asp.net MVC 6 和 Web Api 进行身份验证

Question

我正在使用 Asp.Net MVC 6 开发一个新项目。每个控制器都将像一个隔离的 SPA，其中 Index 方法将呈现一个视图，所有操作都将由 Web Api 调用完成。此 Web Api 还将用于未来的移动应用程序以及第三方系统。

从集成的角度来看，通过 ssl 使用 Owin 基本身份验证是否安全？在旧项目中，我将令牌用于 Web api 项目，但在这个新项目中，MVC 和 Web Api 将混合使用，我需要另一种身份验证方法。

Answer 1

Basic authentication 的主要问题是用户名和密码几乎以明文形式传输（它实际上是一个 base64 编码的字符串，很容易从中恢复明文）。这意味着客户端和服务器之间的任何人都可以轻松检索用户名和密码。

但是，如果您只允许通过 SSL 进行基本身份验证，那么您的流量就会被加密，您可以合理地确定它是“安全的”。假设这是一个很好的 SSL 实现。