REST WebApi username/password security

Question

Я разрабатываю серию веб-сервисов, используя новый microsoft asp.net mvc 4 WebApi.

Для любого вызова любой из этих служб имя пользователя и пароль должны передаваться каждый раз, и эти данные должны быть проверены на сервере sql для авторизации пользователя.

Вопросы:

1) Будет ли правильно передать имя пользователя и пароль каждый раз, используя основные заголовки проверки подлинности или, возможно, пользовательские заголовки HTTP? Дело в том, что я не хочу вмешиваться в запрос или тело запроса в каждом вызове и предпочитаю заголовки.

2) Как только передается в заголовках, как я могу использовать атрибут authorize для вызова моего метода, который проверяет, что пользователь действителен в sql? Нужно ли рулон настраиваемого атрибута авторизации?

Answer 1

1. Да, при условии, что это через HTTPS - Посмотрите здесь писать свой собственный обработчик сообщений, http://sixgun.wordpress.com/2012/02/29/asp-net-web-api-basic-authentication/

Answer 2

Есть несколько реализаций уже есть, лучше быть Доминика Байер:

http://leastprivilege.com/2012/05/26/thinktecture-identitymodel-and-asp-net-web-api/

Этот пользователь использует следующие атрибуты:

http://www.piotrwalat.net/basic-http-authentication-in-asp-net-web-api-using-membership-provider/