Ревизионная служба и авторизация роли пользователя

Question

Мы создаем Restful Web API для нашего клиента, который будет потребляться только их приложениями Native Mobile и веб-приложениями нет доступа к третьей стороне.

Каждый пользователь имеет свои собственные учетные данные и роль в приложении, а также доступ на основе ролей, а также авторизацию.

Что является лучшим способом аутентификации и авторизации роли пользователя в веб-API без сохранения сеанса. Я использую Asp.net web API 1.0, так как я на 4.0.

Нужно ли мне получать информацию о роли из БД при каждом вызове. любой эффективный способ?

Answer 1

Если вы находитесь в среде на основе .NET, вы можете выбирать из нескольких схем аутентификации и самостоятельно выбирать несколько схем контроля доступа/авторизации.

Для аутентификации самым простым способом является использование механизмов, поддерживаемых HTTP, то есть HTTP-аутентификация по стандарту HTTP. Вы также можете посмотреть аутентификацию на основе Kerberos. Все они доступны OOTB в .NET.

Вы также можете рассмотреть Open ID Connect или OAuth, но для этого потребуются дополнительные библиотеки.

Что касается авторизации, .NET дает вам авторизацию на основе утверждений, которая является способом обеспечения контроля доступа на основе ролей.

Посмотрите на этот замечательный ответ на SO: Using Claim-Based Authorization