验证动态 CRM 插件以访问 Web API 2 方法答案

【问题标题】：Authenticating dynamics CRM plugin to access Web API 2 methods验证动态 CRM 插件以访问 Web API 2 方法
【发布时间】：2016-10-19 05:45:58
【问题描述】：

我在动态 CRM 中编写了一个插件。此插件访问部署在 Azure 云中的一些 Web API 2 方法（通过HTTPS）。当 CRM 中的联系人数据发生更改时，将触发该插件。许多 CRM 帐户持有人会更新联系人数据。

我将在插件中硬编码一个“密钥”（一次性生成的 Guid），并在每次访问 Web api 方法时发送此密钥。我将在 web api 方法中验证此 guid，以防止未经授权的访问。

我不喜欢将密钥 (guid) 存储在源代码中。

问题

注意

一般来说，我的所有 Web API 都通过自定义身份验证 Web api 过滤器进行身份验证，但从插件访问的 Web API 不属于自定义身份验证的一部分。

CRM 版本是 2013

【问题讨论】：

【解决方案1】：

正如前面的答案所述，第一个选项是将您的信息存储在您可以从插件中检索的配置自定义实体中。这些记录将受到 CRM 安全模型的保护，因此如果您的插件在调用用户上下文中运行，您将需要确保用户有权读取该信息（这不是一个好主意）或更改插件在管理员用户上下文中执行。

另一种选择是使用Secure/Unsecure Configuration：这些是您可以在步骤中配置的两个（字符串）参数，您将能够从插件中读取它们。我会说安全配置符合您的要求，但请看一下。您还可以轻松找到如何实现它 (example)。

我能想到的第三个也是最后一个选项是创建一个 XML WebResource 并从插件中读取它。同样，您需要确保正在运行的插件下的用户上下文可以访问它。

【讨论】：

【解决方案2】：

我认为这种方法永远不会安全。

可以从 CRM 中提取插件程序集。然后有人可以拆卸组件并找到 Guid。实际上，您的密码是以纯文本形式存储的。

至少您可以将用户名/密码/密钥存储在 CRM 记录中。然后可以使用 CRM 安全性保护 CRM 记录。

“正常”实施身份验证可能会更好。

【讨论】：