将 Asp.Net WebAPI 从 AngularJS 应用程序的 Asp.Net MVC 站点移到单独的站点

Question

我们有一个使用 AngularJS 作为前端的 Asp.Net MVC 5.0 项目。该项目在同一个项目中有 WebAPI 控制器，它被部署到同一个网站。该应用程序是使用个人用户帐户项目模板构建的，并使用 Asp.Net 身份和声明。有文件上传模块，用户通过 webapi 和 ng-file-upload 插件上传一些 100MB 以上的文件。由于用户群的增加，我们希望通过将 API 单独分离到新服务器中的单独站点并在需要时对其进行扩展来快速提高上传速度。由于 API 控制器目前在使用 OWIN cookie 身份验证的 ASP.Net MVC 解决方案下，因此 API 由 cookie 身份验证中间件授权。 将 API 放入单独站点的快速方法是什么？我相信我们需要基于 MVC 站点实现 OAUTH 令牌，并通过启用 CORS 使新的 API 站点使用令牌。如果我们这样做，我们不确定是否需要删除基于 cookie 的身份验证并使用新的基于令牌的身份验证重新实现身份验证。通过仍然对 Asp.Net MVC 站点使用基于 cookie 的身份验证并将 api 分离到一个新站点中，我们可以采取任何其他方法吗？

注意-我们还计划使用此 API 构建移动应用程序，因此我们认为我们必须将 webapi 分离到一个单独的站点并引入基于 OAuth 令牌的授权。

提前致谢！

问候， 巴拉

Answer 1

如果您的 mvc 站点只是客户端代码，没有任何主要的后端 c#。这不需要安全性，因为您的数据来自需要保护的 API。如果您不想将两者分开在不同的域中。 Angular 需要读取从服务器发送的用户信息，这就是为什么只有 HTTPs 加密的 cookie 不起作用的原因。如果它们将是不同的服务器和域，再加上您需要 API 的多个使用者，您应该使用刷新令牌和整个事情转移到基于 oAuth 和不记名令牌的登录。通过这种方式，您可以将 api 扩展到多个负载均衡器并仍然使用不记名令牌，这将是无状态的。话虽如此，您仍然可以通过将令牌存储在 cookie 中来实现此目的，angular 可以解析和使用这些值，而 api 可以验证令牌的签名并使用这些值。他们必须在同一个域上，以便他们可以共享 cookie。这可以在不使用 cookie 的情况下完成，也可以简单地使用 LocalStorage。