【发布时间】：2015-07-21 01:42:42
【问题描述】：
我有一个 .NET Web Api JSON 服务，它将被 AngularJS 网站调用。网站和 Web 服务都将托管在同一台服务器中，但可能托管或不托管在同一 IIS 站点中。目前，该服务已完全公开，我可以从浏览器调用它的方法。我想确保这一点，但我不确定最好的选择是什么。理想情况下，我认为我需要一个客户端证书，但由于客户端是 JavaScript，即客户端，我不确定这是否可行。任何建议将不胜感激。
【问题讨论】：
【发布时间】：2015-07-21 01:42:42
【问题描述】：
您的证书可以很容易地被提取，简单地使用带有范围规则的 cors 以允许仅从指定的 URL 进行访问
[EnableCors(origins: "http://www.example.com", headers: "*", methods: "*")]
【讨论】：
-
从浏览器调用时会阻止访问吗？我已经发送了 Access-Control-Allow-Origin，所以这会阻止它从其他站点访问，但我仍然可以从浏览器调用它。
-
服务器决定允许基于 URL 的请求，您可以轻松地混合和匹配并允许来自一个浏览器（url）而不是另一个，这确实是它在生活中检查来源的全部目的关闭请求并允许访问部分或全部控制器方法
-
我想我应该提到的是我不希望它可以从浏览器中调用。我想我有一些关于 Cors 的阅读。