웹 API 인증 시나리오

Question

나는 과거에 ASP.NET WebSecurity Membership과 WebAPI를 구현했지만 결코 동시에 사용할 필요가 없었습니다.

이제 새 사이트를 만들고 클라이언트에 등록 또는 로그인 방문자가 필요하지 않습니다. 따라서 회원이 없을 것입니다.

그러나 클라이언트는 WebAPI를 통해 데이터를 검색 할 수 있기를 원합니다. 그러나이 데이터는 민감 할 수 있으며 우리가 사용자 또는 해커에게 보여주기를 바라는 것이 아니므로 클라이언트로부터 API 요청을 할 수 있도록 내 클라이언트와 클라이언트 만 권한을 부여하는 방법은 무엇입니까? (WinForms 데스크톱 앱, 모바일 앱 등)?

Answer 1

내 공개 API에 구현 된 것과 비슷한 점이 있는데, 일부 메소드는 관리자 만 호출 할 수 있습니다.

관리 방법 서명에는 이전에 관리자 사용자에게 할당 한 고유 식별자 문자열을 허용하는 문자열 매개 변수가 포함됩니다.

그런 다음 API 키가 관리자에게 속한 경우 모든 메소드 호출에서 확인하고 권한이없는 경우 예외를 던지거나 그렇지 않은 경우 데이터를 사용하여 호출에 응답합니다.

예 방법 :

이

public decimal GetCompanyBalance(string APIKey, int CompanyId) 
{ 
    if(!UserManager.GetByAPIKey(APIKey).IsAdmin){ 
     throw new UnauthorizedException(); 
    } 

    return Company.GetBalance(CompanyId); 
}