WCF REST - 如何最好地为多个用户构建架构，同时限制访问

Question

我是 WCF 和 REST 的新手，因此请原谅任何明显的问题。

我正在尝试创建一个供客户端使用的 RESTful API。该 API 需要仅对经过身份验证的用户可用，因此我认为执行此操作的最佳方法（根据我过去几天阅读的内容）是使用基于 SSL 的基本身份验证，这很好。

我在 VS2010 中有一个面向 .NET 3.5 的基本 WCF REST 服务应用程序。 - 其基本内容直接取自 http://www.codeproject.com/ KB/WCF/BasicAuthWCFRest.aspx

我正在努力理解和区分的是如何对用户进行身份验证，同时还限制客户可以根据他们的身份进行的调用。

因此，客户需要拨打的电话会将一些基本信息从他们的系统传递到我们的系统，每个客户都能够拨打相同的电话，但是我不希望客户 A 能够将信息发布到我们网站上客户 B 的区域中。侧，反之亦然。

我计划让两个客户发布类似以下网址的内容：-

api.mydomain.com/sale/

但是，我想知道这样做是否更有意义：-

api.mydomain.com/clientA/销售/ api.mydomain.com/clientB/sale/

...如您所见，我完全迷失了！

另外，我的示例代码使用自定义 MembershipProvider - 我了解会员资格的基础知识，但同样，不知道我是否应该以某种方式使用它来限制客户端将数据发布到彼此的区域？

抱歉胡言乱语 - 太多问题了:(

Answer 1

关于授权（授予对特定资源的经过身份验证的使用访问权限），有几种方法。

您可以通过 web.config 中的 元素限制对某些区域（目录/URL 路径）的访问，然后使用 元素 仅允许某些用户或角色（组）访问这些位置。如果位置/用户/角色的数量是可管理的并且不会改变太多，那么这是可以的。例如：

<location path="ProtectedPlaces/Foo">
    <system.web>
        <authorization>
            <allow roles="FooGroup"/>
            <deny users="*"/>
        </authorization> 
    </system.web>
</location>

或者，在幕后，您可以使用基于 API 的方法，其本质上是做同样的事情。有许多库可以提供帮助，包括 AzMan；与角色成员资格提供者属于同一“家族”的授权库；企业库中也有一个。

本文可能会有所帮助（请参阅：“步骤 2 ：根据当前登录用户的角色限制功能”）。

Answer 2

我是这样做的。我使用标准成员资格提供程序（但您也可以使用自定义成员资格提供程序执行相同操作）来对用户进行身份验证，但我不让 IIS 执行此操作。我自己对用户进行身份验证（作为 REST API 的一部分），并为该用户生成一个令牌，将其存储在成员资格数据库中并发回客户端。

对于客户端发出的每个请求，它还需要发送有效的令牌。由于令牌与用户 ID 存储在一起，因此我可以确定令牌是否有效以及哪个用户正在发出请求。因此，我可以根据我自己的安全规则确定是否允许该请求。

如果只允许用户对其自己的数据执行特定请求，那么您不需要发送除令牌之外的任何标识信息。

HTH。