保护使用非常规身份验证方法的 .NET 4.0 Web API 的推荐方法是什么？答案

【问题标题】：What is the recommended approach to secure .NET 4.0 Web API that uses unconventional authentication method?保护使用非常规身份验证方法的 .NET 4.0 Web API 的推荐方法是什么？
【发布时间】：2015-08-08 10:13:34
【问题描述】：

我一直在研究如何保护 Web API，所有文章和书籍都指向使用 OAuth。但是 oauth 不适合我的场景，因为我不需要另一个系统来验证用户身份。

另一个复杂性是我们使用钱包外问题而不是用户名/密码来验证用户身份。

我的应用程序是一个带有 .NET 4.0 Web API 后端的 Angular UI 前端。我正在考虑在 JWT 中实现基于令牌和声明的身份验证以作为裸令牌传递，但我找不到 .NET 4.0 Web API 1 的良好资源/示例。我看过很多关于 .NET 4.5 和 OWIN 中间件的好文章但这些都不能在 .NET 4.0 中使用。

我还是 WEB API 世界的新手，所以这是我的问题。

这是保护 Web API 1 的推荐方法吗？如果不是，您会推荐什么？
你能给我一些关于 Web API 1 安全性的好文章/示例吗？
我正在考虑使用 Thinktecture.IdentityModel.40，但我找不到 .NET 4.0 版本的好示例。

【问题讨论】：

标签： c# oauth-2.0 asp.net-web-api claims-based-identity jwt

【解决方案1】：

您可以使用请求过滤器从 HTTP 标头中获取令牌。可能是最简单的方法。

Web api 具有身份验证过滤器。

http://www.asp.net/web-api/overview/security/authentication-filters

【讨论】：

谢谢，我的主要瓶颈是实现安全令牌的正确方法。由于我是 Web API 安全的新手，我什至不确定我的方法是否正确。此外，您的链接适用于 Web API 2，我无法使用 Web API 1 中的链接。