免责声明:首先让我说我是 MVC4 + Web Api + 一般 Web 服务 + JQuery 的新手。我可能以错误的角度攻击它。

我正在尝试在 C# 中为 .NET 4 构建一个 Web MVC 应用程序 + Web API，以便在 Azure 中部署。 Web api 将由移动客户端(iOS，使用 RestKit)使用。

Web MVC App 会比较简单。我们想为其使用 Forms 身份验证和 SimpleMembership - 我们实现了并且工作正常。

我们将使用 JQuery (Knockout) 脚本中的 Web API 方法来填充网页的各个部分。因此，我们希望 JQuery 使用通过 Forms Authentication 验证的相同身份。

但是，想法是移动客户端可以直接调用Web Api。这些没有表单例份验证。

我们一直在研究 Thinktecture 身份模型 ( http://nuget.org/packages/Thinktecture.IdentityModel https://github.com/thinktecture/Thinktecture.IdentityModel.40 )。我们将 BasicAuth 和 AcessKey 处理程序添加到配置中，它可以正常工作(请参见下面的代码)。

当您尝试在未经身份验证的情况下访问 webapi 时，浏览器会显示基本身份验证对话框并按预期工作。

“问题”是，当您已经通过表单例份验证登录并尝试调用 Web Api 方法时，您仍然会看到基本身份验证对话框。换句话说，Thinktecture IdentityModel 似乎完全忽略了表单例份验证。

我的问题是:

1. 我的期望是否正确？一旦我完成了表单例份验证，我就不应该做任何其他事情来让 JQuery 脚本等从同一浏览器用户 session 访问 Web API。
2. 我该如何解决？
3. 如果我的期望不正确；这应该如何工作？即:如何让 JQuery 脚本进行身份验证？

我知道 Stackoverflow 中有很多类似的问题，老实说，我查了很多资料，看过视频等等，但要么我遗漏了一些明显的东西，要么没有关于这个技术新手的明确文档。

感谢您的帮助。谢谢。

public static AuthenticationConfiguration CreateConfiguration()
{
var config = new AuthenticationConfiguration
        {
            DefaultAuthenticationScheme = "Basic",
            EnableSessionToken = true,
            SetNoRedirectMarker = true
        };            

config.AddBasicAuthentication((userName, password) => userName == password, retainPassword: false);
config.AddAccessKey(token =>
        {
            if (ObfuscatingComparer.IsEqual(token, "accesskey123"))
            {
                return Principal.Create("Custom",
                    new Claim("customerid", "123"),
                    new Claim("email", "foo@customer.com"));
            }

            return null;
        }, AuthenticationOptions.ForQueryString("key"));

最佳答案

这是我之前针对这个问题提出的解决方案。

Note: This solution doesn't involve Thinktecture Identity Model.

我有一个摘要BasicAuthenticationHandler作为委托(delegate)处理程序的类。您可以通过安装最新的稳定版 WebAPIDoodle NuGet package 来获取此处理程序.

如果请求已经过身份验证(例如:通过表单例份验证)，您可以提示此基本身份验证处理程序以抑制身份验证过程。您需要注册的自定义处理程序如下所示:

public class MyApplicationAuthHandler : BasicAuthenticationHandler {

    public MyApplicationAuthHandler() 
        : base(suppressIfAlreadyAuthenticated: true) { }

    protected override IPrincipal AuthenticateUser(
        HttpRequestMessage request, 
        string username, 
        string password, 
        CancellationToken cancellationToken) { 

        //this method will be called only if the request
        //is not authanticated.

        //If you are using forms auth, this won't be called
        //as you will be authed by the forms auth bofore you hit here
        //and Thread.CurrentPrincipal would be populated.

        //If you aren't authed:
        //Do you auth here and send back an IPrincipal 
        //instance as I do below.

        var membershipService = (IMembershipService)request
            .GetDependencyScope()
            .GetService(typeof(IMembershipService));

        var validUserCtx = membershipService
            .ValidateUser(username, password);

        return validUserCtx.Principal;
    }

    protected override void HandleUnauthenticatedRequest(UnauthenticatedRequestContext context) {

        // Do nothing here. The Autharization 
        // will be handled by the AuthorizeAttribute.
    }
}

作为最后一步，您需要将 System.Web.Http.AuthorizeAttribute(不是 System.Web.Mvc.AuthorizeAttribute)应用到您的 Controller 和操作方法为特定角色和用户授予权限。

我希望这有助于解决您的问题。

关于c# - 使用 ASP.NET Web API 并排进行基本身份验证和表单例份验证，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/13004091/