对我的WebAPI服务的第三方服务进行身份验证

Question

我有一个从其他服务调用的WebAPI服务。 我需要保护它。

1）如何保护我的服务？

2）我将其托管在IIS中，因此我需要查看OAuth 2.0还是仅使用通过SSL进行的基本身份验证？（但不确定第三方服务如何通过我的服务进行身份验证）。

3）何时应将OAuth 2.0与WebAPI一起使用

4）我需要哪种身份验证方法，才能从iOS / Android / WindowsPhone应用程序访问服务。

谢谢

Answer 1

这取决于您的要求。

如果这些其他服务是您仅希望允许调用的第三方网络服务，则可以为它们提供一个API密钥 （其原理与密码相同）。

如果这些服务需要使用用户调用其服务的安全上下文（委托授权）来调用您的服务，则您可能应该考虑使用OAuth 2.0来处理这种情况。

您可以使用Thinktecture之类的开源授权服务器，也可以使用Katana中间件在服务中公开令牌发行端点 。