保护匿名 Web API 请求的方法

Question

我有一个 ASP.NET MVC（不是 ASP.NET Core）单页应用程序，前端带有 angular js。

我的客户端（浏览器）通过 ASP.NET Web API 与服务器通信。现在，Web 应用程序在 https 上，但在 anonymous 上。没有登录/用户身份验证。

网络应用程序采用向导的形式，用户可以在其中来回添加或更新网页上的输入字段。然后通过 Web API 在服务器上更新表单输入值。

我正在寻找一种方法来单独保护我的 Web API 调用，尤其是 POST/PUT 请求。总之，我想阻止任何用户直接从 POSTMAN 或 Fiddler 调用我的 Web API。 Web API 虽然是匿名的，但只能从发起请求的浏览器会话中调用。

• 我有哪些选择可以实现这一目标？

• 我可以在此处使用 Anti-Forgery 令牌（无需身份验证）吗？

• 一种方法，我可以想到实现这一点是为每个请求添加一个自定义标头，并在标头中存储某种会话密钥。然后，验证我从客户端收到的每个请求的自定义标头。是否有其他方法可以在不使用自定义解决方案的情况下实现这个开箱即用或一些经过验证的库？

• 如果我必须采用上述自定义解决方案，我需要注意哪些陷阱或潜在问题？

Answer 1

首先，当您删除登录并且您的应用程序中没有身份验证机制时，实际上没有办法保护任何东西，因为任何人都可以访问您的 API。我认为您想要的是确保仅从您自己的网站调用您的 API。不幸的是，您无法完全实现这一点，因为您的 Web API 是 http/https，并且任何人，来自任何地方（如邮递员、提琴手等）都可以创建 http 请求并调用您的 API。

您所能做的就是让您的 API 更难响应请求，例如您提到的使用 Anti-Forgery。

我还建议您为您的应用程序添加一个 cookie，并在每个请求中检查该 cookie，在这种情况下，使用 Fiddler 或 Postman 调用您的 API 会更加复杂（并非不可能）。

最后我建议您使用 CORS，这样浏览器将只允许您的域调用您的 API。因此没有人可以在不同域的浏览器中调用您的 API。

Answer 2

根据@Arvin 的回答和@Evk 的评论，我打算这样做：

• 一旦用户启动anonymous 会话，使用常规Guid.NewGuid() 方法生成一个GUID 并将其保存在数据库中以识别请求（我现在正在这样做）。但是，正如here 所述，

GUID 可以是唯一的，但它们不受加密保护。

• 因此，不使用纯文本 GUID，而是使用当前时间戳将其加密为 token，并附加请求查询字符串。

• 对于每个后续的 API 请求，从查询字符串中读取 token，对其进行解密和验证，如下所示：

  • 检查时间戳。如果时间差超过预定义时间（即令牌过期），拒绝请求

  • 针对 DB 验证唯一 ID (GUID)

• 因为我不再使用纯文本 GUID，所以 URI 不容易猜到。

此外，使用时间戳，URI 会在一段时间后失效。虽然理论上仍然可以通过 Fiddler 调用 API，但这对于攻击者来说应该是非常困难的，如果不是不可能的话。

• 作为进一步的安全措施，我还可以在请求中添加 Anti-Forgery 令牌

据我了解，这有助于解决我的潜在问题，并且使用这种方法，我什至可能不需要添加 cookie 来保护我的匿名会话。

很高兴听到大家的意见，如果这种方法看起来不错，以及如何改进它。

Answer 3

我也曾经奇怪地需要在 WebAPI 上具有会话功能，并创建了一个 OWIN 会话中间件，它完全符合您的目标。

该库名为 OwinSessionMiddleware，可在 github 和 NuGet 上使用。

用法

public class Startup
{
    public void Configuration(IAppBuilder app)
    {
        app.UseSessionMiddleware();

        // other middleware registrations...
        app.UseWebApi();
    }
}

您还可以传递一些 options 来进一步调整 cookie 名称，添加数据库支持的会话存储（而不是内存中），添加您自己的会话 id 生成器（而不是基于 GUID + 的默认 id 生成器）由RNGCryptoServiceProvider 生成的安全随机部分）。

唯一的会话 ID 本身存储为安全 cookie，并且会话由中间件在每次请求时自动恢复。

您可以在 API 控制器内部调用 extension methods 来获取和设置会话数据：

public SomeApiController : ApiController
{
    public IHttpActionResult MyAction()
    {
        var requestCount = Request.GetSessionProperty<int>("RequestCount");

        Request.SetSessionProperty("RequestCount", ++requestCount);
    }
}