【发布时间】：2016-10-08 21:23:12
【问题描述】：
我制作了一个 web api，它可以跟踪服务：
- 返回公司当前职位空缺列表 (GET)
- 适用于当前打开的任何工作 (POST)。
API 然后由 angularJS 前端使用。我从网上找到的大多数身份验证都需要登录，但我们的网站不需要，所以我不能真正使用令牌持有者。
我必须实施或考虑的事项有哪些？是否有任何威胁，我该如何绕过它们？
【问题讨论】：
标签： api asp.net-web-api api-key
【发布时间】：2016-10-08 21:23:12
【问题描述】：
您可能可以将 ClientId/ClientSecret 添加到您的 SPA 并以某种方式安全地将其作为每个请求的一部分发送，可能 AngularJs 拦截器会有所帮助。
在 webAPI 端只接受那些具有有效 clientId 的请求，可能使用过滤器。
这里解释了类似的基础架构http://bitoftech.net/2014/07/16/enable-oauth-refresh-tokens-angularjs-app-using-asp-net-web-api-2-owin/（clientId，ClientSecret 部分）
希望这会有所帮助。
【讨论】：