向我的 Web API 服务验证 3rd 方服务

【问题标题】：Authenticate 3rd partiy services to my WebAPI service向我的 Web API 服务验证 3rd 方服务
【发布时间】：2015-05-05 20:18:45
【问题描述】：

我有一个从其他服务调用的 WebAPI 服务。我需要保护它。

1) 如何保护我的服务？

2) 我在 IIS 中托管它，所以我需要查看 OAuth 2.0 还是只使用 SSL 的基本身份验证？（但不确定第 3 方服务如何使用我的服务进行身份验证）。

3) 何时应将 OAuth 2.0 与 WebAPI 结合使用

4) 我需要什么身份验证方法才能从 iOS/Android/WindowsPhone 应用程序访问服务。

谢谢

【问题讨论】：

【解决方案1】：

这取决于您的要求。

如果这些其他服务是您只想允许调用您的服务的第 3 方 Web 服务，您可以给他们一个 API key（原则上与密码相同）。

如果这些服务需要使用调用其服务的用户的安全上下文（委托授权）来调用您的服务，您可能应该研究处理该场景的 OAuth 2.0。

您可以使用像 Thinktecture 这样的开源授权服务器，或者使用 Katana 中间件在您的服务中公开 token issuing endpoint。

【讨论】：