一、设置浏览器客户端

如果你在读这本书，那是因为你理解保护你的 web API 的重要性。 ASP.NET Web API 是一个框架，它帮助构建可以被广泛的客户端利用的 HTTP 服务。 所以确保 Web API 的安全是非常重要的。

ASP.NET Web API 1.0 没有任何安全特性，所以安全是由主机(如 Internet Information Server)提供的。 在 ASP.NET Web API 2，安全特性如 Katana 被引入。 为了保护 Web API，让我们了解所涉及的各种技术，并选择正确的方法。

在本章中，我们将涵盖以下主题:

• ASP.NET Web API 安全体系结构


• 设置浏览器客户端


• 认证和授权


• 在 HTTP 消息处理程序中实现认证


• 设置主


• 使用[Authorize]属性


• 自定义授权过滤器


• 控制器操作中的授权

本节将向您概述 Web API 安全体系结构，并向您展示可用于安全相关事务的所有各种扩展点。 ASP.NET Web API 安全体系结构由三个主要层组成。 宿主层充当 Web API 和网络堆栈之间的接口。 消息处理程序管道层支持实现诸如认证和缓存等横切关注点。 控制器处理层是执行控制器和操作、绑定和验证参数以及创建 HTTP 响应消息的地方。 该层还包含一个过滤器管道，如下图所示:

图 1 -此图像显示了保护 Web API 所涉及的组件

让我们简要讨论一下 Web API 管道中每个组件的用途，如下所示:

• Open Web Interface for . net(OWIN)是新的开放标准托管基础设施。 微软已经在 OWIN 和的基础上构建了自己的框架 Katana，所有的 Web API 安全技术，如认证方法(例如，基于令牌的认证)和对社交登录提供商(例如，谷歌和 Facebook)的支持都将在 OWIN 层实现。


• 消息处理程序是一个类，用于接收 HTTP 请求并返回 HTTP 响应。 不建议在消息处理程序级别实现认证。 消息处理器用于跨源资源共享(CORS)。


• 认证过滤器保证在授权过滤器之前运行。 如果您对在 OWIN 层操作认证逻辑不感兴趣，您可以直接转移到控制器或操作。 认证过滤器对于调用基于 owen 的认证逻辑非常有用。


• 授权过滤器是管道中的位置，您可以在实际昂贵的业务逻辑在模型绑定和验证中运行以及控制器动作被调用之前重新检查请求。

现在我们已经熟悉了安全体系结构，接下来我们将设置客户机。

让我们创建一个用于联系人查找的 Web API。 这个联系人查找 Web API 服务将向调用的客户端应用返回联系人列表。 然后，我们将使用 jQuery AJAX 调用来列出和搜索联系人，使用 Contact Lookup 服务。

这个应用将帮助我们在本书中演示 Web API 安全性。

实现 Web API 查找服务

在这个节中，我们将创建一个联系人查找 web API 服务，该服务返回一个联系人列表，该列表采用Javascript 对象标记(JSON)格式。 使用这个联系人查找的客户端是一个简单的 web 页面，它使用 jQuery 显示联系人列表。 按照以下步骤启动项目:

1. 在 Visual Studio 的Start页面中创建新项目。


2. 选择 Visual c# Installed Template 命名为Web。


3. 选择ASP.NET Web 应用。



4. Name the project ContactLookup and click OK, as shown in the following screenshot:

   图 2 -我们已经命名了 ASP.NET Web 应用“ContactLookup”




5. 在新 ASP. net 中选择空模板。 对话框。




6. Check Web API and click OK under Add folders and core references, as shown in the following:

   图 3 -我们选择空 Web API 模板

我们只是创建了一个空的 Web API 项目。 现在让我们添加所需的模型。

添加模型

让我们从开始，通过以下步骤的帮助创建一个代表联系人的简单模型:

1. First, define a simple contact model by adding a class file to the Models folder.

   图 4 -右键单击 Models 文件夹并添加一个 Model 类




2. 命名类文件Contact 并声明Contact类的属性。

   namespace ContactLookup.Models
{
public class Contact
{
public int Id { get; set; }
public string Name { get; set; }
public string Email { get; set; }
public string Mobile { get; set; }
}
}

我们刚刚添加了一个名为Contact的模型。 现在让我们添加所需的 web API 控制器。

添加控制器

HTTP 请求是由 Web API 中的控制器对象处理的。 让我们定义一个带有两个动作方法的控制器。 一个操作返回联系人列表，另一个操作返回特定于给定 ID 的单个联系人:

1. Add the Controller under the Controllers folder in Solution Explorer.

   图 5 -右键单击 Controllers 文件夹并添加控制器




2. Select Web API Controller – Empty and click on Add in the Add Scaffold dialog.

   图 6 -选择一个空的 Web API 控制器




3. Let's name the controller ContactsController in the Add Controller dialog box and click Add.

   图 7 -命名控制器

   这将在Controllers文件夹中创建ContactsController.cs文件，如下图所示:

   图 8 -应用中的 Controllers 文件夹中添加了 ContactsController




4. 用以下代码替换ContactsController中的代码:

   ```
   namespace ContactLookup.Controllers
   {
   public class ContactsController : ApiController
   {
   Contact[] cOntacts= new Contact[]
   {
   new Contact { Id = 1, Name = "Steve", Email = "steve@gmail.com", Mobile = "+1(234)35434" },
   new Contact { Id = 2, Name = "Matt", Email = "matt@gmail.com", Mobile = "+1(234)5654" },
   new Contact { Id = 3, Name = "Mark", Email = "mark@gmail.com", Mobile = "+1(234)56789" }
   };

   public IEnumerable<Contact> GetAllContacts()
{
return contacts;
}
public IHttpActionResult GetContact(int id)
{
var contact = contacts.FirstOrDefault(x => x.Id == id);
if (contact == null)
{
return NotFound();
}
return Ok(contact);
}
}


   }
   ```

为简单起见，联系人存储在控制器类中的固定数组中。 控制器定义为，有两个动作方法。 联系人列表将由GetAllContacts方法以 JSON 格式返回，GetContact方法根据其 ID 返回单个联系人。 一个惟一的 URI 应用于控制器上的每个方法，如下表所示:

|

控制器方法

|

尤里

|
| --- | --- |
| GetAllContacts | /api/contacts |
| GetContact | /api/contacts/id |

使用 Javascript 和 jQuery 使用 Web API

在这个节中，为了演示使用或不使用任何安全机制调用 web API，让我们创建一个 HTML 页面，使用 web API 并使用 jQuery AJAX 调用的结果更新页面:

1. In the Solution Explorer pane, right-click on the project and add New Item.

   图 9 -从解决方案资源管理器的上下文菜单中选择 add new item




2. Create HTML Page named index.html using the Add New Item dialog.

   图 10 -添加索引 html 文件通过选择 html 页面在添加新项目对话框




3. 用以下代码替换index.html文件中的内容:

   ```
   
   

   Contact Lookup
   
   
   

   All Contacts

   
   

   
   
   
   
   
   

   Search by ID

   var uri = 'api/contacts';

   $(document).ready(function () {
// Send an AJAX request
$.getJSON(uri)
.done(function (data) {
// On success, &＃39;data&＃39; contains a list of contacts.
$.each(data, function (key, contact) {
// Add a list item for the contact.
$(&＃39;

4. &＃39;, { text: formatItem(contact) }).appendTo($(&＃39;#contacts&＃39;));
});
});
});