基本身份验证，回退到表单身份验证

Question

这是一个关于 ASP.net MVC 4 的问题。您可以自始至终假设 SSL。

• 我有一个 Web API，它可以通过 SSL 使用 HTTP Basic Auth 提供给客户端。
• 我还有一个 CMS，在同一个域上，它通过 jQuery 使用 Web API。
• 用户通过 Forms 身份验证登录 CMS。

出于这个原因，我希望可以使用任一 HTTP Basic Auth 或 Forms auth 登录到 Web API。

我计划使用自定义 AuthorizeAttribute 来实现这一点，如果存在，它将首先根据数据库检查基本 auth 标头。如果基本 auth 标头不存在，则它将授权委托给基本 AuthorizeAttribute 以处理 Forms auth。

首先，这是个好主意吗？任何人都可以看到允许任何一种身份验证的任何问题吗？任何人都可以看到任何实施问题吗？

Answer 1

首先，这是个好主意吗？

是的，这似乎是个好主意，我认为实现 2 种身份验证机制没有任何问题：

• 已在同一域上通过身份验证的用户的表单身份验证
• 针对尚未通过身份验证但拥有用户名和密码并希望直接调用 Web API 的某些方法的用户的基本身份验证