Параметры аутентификации Api с asp.net mvc

Question

Я ищу, чтобы ограничить доступ к контроллерам/действиям, которые представляют api моего сайта. Только зарегистрированные пользователи, которые отвечают определенным критериям (платные аккаунты, а не бесплатные пробные версии), смогут использовать api. В настоящее время веб-сайт поддерживает проверку подлинности форм, когда пользователи регистрируются с помощью комбинации имени пользователя/пароля или с помощью открытого идентификатора.

Как пользователи должны пройти аутентификацию с помощью api? Первоначально api будет использоваться мобильными приложениями (iphone, droid). Моя главная забота - открытая поддержка идентификаторов с мобильными приложениями.

Мои мысли о доступных опций:

1. Поддержка как Имя пользователя/пароль & Open ID - Не уверен, насколько хорошо IPhone/дроидов приложения могут поддерживать OpenId проверки подлинности.
2. только поддерживают имя пользователя/пароль - пользователи силы OpenId создать ип/PWD для апи - Bad UX для пользователей OpenId
3. использовать токен - Это беспокоит меня по двум причинам:
   1. Пользователи должны вручную введите их ключ api, который сосет с точки зрения UX.
   2. Они могут легко распространять/делиться своим ключом api с другими пользователями, и это разрушит отчеты/показатели.
4. Что-то еще, что я пропустил?

Answer 1

Я обнаружил, что аутентификация на токенах работает наилучшим образом.

OAuth 2 - привлекательная альтернатива, которая будет поддерживаться всеми мобильными устройствами и сайтом, который уже допускает несколько форм аутентификации.

DotNetOpenAuth предлагает библиотеку .net для работы с OAuth2, среди других технологий аутентификации.

Answer 2

Мы используем №1 - открываем идентификатор или имя пользователя/пароль. Я не вижу, как это специфично для asp.net или asp.net mvc, хотя ... это похоже на архитектурный вопрос.

Answer 3

Я думаю, что это зависит от того, как создавать ваши услуги API (REST/JSON, XML, WCF, и т.д ..), но вот некоторые ссылки, которые помогут:

ASP.NET MVC - HTTP Authentication Prompt

http://code.google.com/p/dotnetopenid/