(Ajax) 使用 Web API 验证 MVC 网站用户

Question

试图搜索这个结果很多很多关于保护 WebAPI 以及如何保护 MVC 应用程序的结果，但我找不到解决方案。

我想要达到的目标： 我有一个带有模式登录表单的 MVC 网站， 当用户在表单中输入他的凭据时，一个 Ajax 请求将发送到带有凭据的 WebAPI。 WebAPI 应该返回（我猜是一张票，因为那是我找到的）。 然后票会被保存到浏览器的 sessionStorage 中（没有 cookie）， 对网站的每个页面请求都会检查令牌，并启用/禁用需要保护的部分。

我发现的所有示例都显示了仅 MVC 身份验证， 或 WebAPI 身份验证，但我找不到执行上述操作的任何内容。

Answer 1

sessionStorage 仅供客户端使用。您可以使用 Javascript 从存储中操作或检索值，但不能直接从服务器读取数据。由于 MVC 通常在服务器端呈现 HTML 视图，因此您无法在每次请求时发送存储在 sessionStorage 中的令牌。

您描述的情况是一种混合解决方案，如果不使用 cookie 就无法实现。

一个简单的解决方案是在登录阶段在 Web API 端点发出的 cookie 中设置登录数据（特别是令牌，如果您将使用基于令牌的方法）。