對我的WebAPI服務的第三方服務進行身份驗證

Question

我有一個從其他服務調用的WebAPI服務。 我需要保護它。

1）如何保護我的服務？

2）我將其托管在IIS中，因此我需要查看OAuth 2.0還是僅使用通過SSL進行的基本身份驗證？（但不確定第三方服務如何通過我的服務進行身份驗證）。

3）何時應將OAuth 2.0與WebAPI一起使用

4）我需要哪種身份驗證方法，才能從iOS / Android / WindowsPhone應用程序訪問服務。

謝謝

Answer 1

這取決於您的要求。

如果這些其他服務是您僅希望允許調用的第三方網絡服務，則可以為它們提供一個API密鑰 （其原理與密碼相同）。

如果這些服務需要使用用戶調用其服務的安全上下文（委托授權）來調用您的服務，則您可能應該考慮使用OAuth 2.0來處理這種情況。

您可以使用Thinktecture之類的開源授權服務器，也可以使用Katana中間件在服務中公開令牌發行端點 。