C＃REST APIをPythonなどのスクリプト言語に安全に公開

Question

C＃REST APIはAngularJS Webアプリケーションから呼び出されます。私は、ユーザーを認証し、ユーザーが特定のWindowsグループの一部であることを確認することによってWeb APIを保護します。

これで、スクリプト（Python）からAPIを呼び出すことができます。これをどのように実装すればよいですか？ jsonコールの一環として、ユーザー名とパスワードを渡すだけでいいですか？

Answer 1

現在使用しているのとまったく同じ認証方法を使用してください。ここで

は、Python（未テスト）を使用して、脱塩基の例である：

from requests.auth import HTTPBasicAuth 
s = requests.Session() 

# Make the initial authentication request from a session object 
s.get('https://omg.wtf/user', auth=HTTPBasicAuth('user', 'pass')) 

# All subsequent requests from that session will include any cookies set in the initial response 
r = s.get('http://omg.wtf/911') 
print(r.text) 

Answer 2

あなたは簡単にPythonでヘッダを増やすことができる場合、私はあなたがトークン認証を使用することを示唆しています。マイクロソフトはこのタイプの認証を直接提供するのではなく、OWINプロジェクトを通じて提供しています。使用するのは難しいことではありませんが、どのようなものが最初に働くのかを知る必要があります。非常に良い包括的なチュートリアルhereがあります。

基本的には、ユーザー名/パスワードを入力することで、一定期間有効なトークンを取得できます。このトークンは暗号化/署名されています。つまり、バックエンドが信頼するということは、各リクエストでユーザー名とパスワードを検証する必要はありません（これは高価です）。次に、このトークンをヘッダーに追加する必要があります。Authorization bearer tokenなど、各リクエストに似たものがあります。あるいは、もしあなたが好きであれば、逆の一貫性を維持するためにクッキーにトークンを持つことができると思います。

Angularでも同様のメカニズムを使用することをお勧めします。インターセプタを簡単に追加して、クッキーやCSRFの潜在的な問題を回避できるからです。