如何保护 JsonResult？

Question

this answer 的第一部分在另一个问题上解释了现有 MVC 站点如何能够非常快速地向其添加公开其数据的能力（例如，向请求数据的 Winforms 应用程序），所有这些都只需几行代码（无需转换为 WCF/Web API 并添加额外的层 - 我们的项目非常小且基本）：

public JsonResult GetCategoryList()
{
    var list = //return list
    return Json(list, JsonRequestBehavior.AllowGet);
}

因此，我们将上述方法作为一种快速简便的解决方案进行了测试，显然它几乎可以正常工作，因为在流中我们获得了用于 MVC 应用登录的 html 源代码。

事实上，如果我们添加 AllowAnonymous 注释，我们确实会得到我们所追求的 Json 流。

但是我们不想允许匿名，我们需要一些保护。已尝试添加：

   Dim nc As New NetworkCredential("username", "password")
   request.Credentials = nc

就在解雇request.GetResponse 之前，但这不起作用（这可能完全无知，但似乎值得一试）。当我说它不起作用时，我的意思是我们回到流中获取登录页面的 html 源代码。

那么如何允许 winforms 应用程序在其对数据的请求中包含某种身份验证（这将起作用）？正如我所说，获取数据是有效的（由 AllowAnonymous 证明）。

Answer 1

您应该将 Web 应用程序的验证码（返回登录名的那个）与您公开 API 的验证码分开。

看起来您正在为网站部分使用表单身份验证，您应该保持这种方式。但是，在公共 API GetCategoryList 中，您应该使用 ActionFilters 实施不同的身份验证策略。