WebAPI 令牌发行授权

Question

我目前正在使用 Sessions 并覆盖 AuthorizeAttribute 来管理 WebAPI 端点的授权，该端点由 MVC Web 应用程序使用。我被告知发行令牌是管理用户和角色的最佳方式。我想了解的是：

1. 为什么比使用 Session 更好？
2. 谁能提供一个很好的（简单）示例，说明如何颁发令牌、用户何时使用 WebAPI 端点登录，以及在颁发令牌后如何使用/跟踪令牌。

我一直在研究 OWIN 和其他一些东西，但我很难找到一个很好的例子来说明它是如何工作的。

Answer 1

1. 令牌更安全并内置于 ASP.Net 身份框架中。无需推出自己的解决方案。
2. 查看此链接中的“获取访问令牌”和“发送经过验证的请求”部分：http://www.asp.net/web-api/overview/security/individual-accounts-in-web-api。端点已在默认 MVC 模板中设置。您也可以使用 PostMan 进行测试。