Asp.Net Core + Angular =ログインせずにApiを保護する

Question

ログイン機能を持たない.netコア+角度アプリケーションがあります。 私はログインする必要はありませんが、私は "管理パネル"タイプの機能を持っています。

たとえば、自分のサイトに投稿を追加したいとします。

私はapi/addpost/myPasswordを使用することはできませんか、それとも私が知っている複雑な文字列であっても を見ることができます。 登録/ログイン機能を実装せずに私のapiを保護する方法はありますか？

ありがとうございます！

Answer 1

できることはいくつかあります。

あなたができる最も簡単なことは、APIコントローラメソッドを入力する前にサービスコールを検証するカスタムActionFilterAttributeを作成することです。

ここではGuidの値を使用しましたが、何でも使用できます。

[AttributeUsage(AttributeTargets.Class | AttributeTargets.Method)] 
public sealed class CustomValidateRequestAttribute : ActionFilterAttribute 
{ 

    public override void OnActionExecuting(HttpActionContext actionContext) 
    { 
      var headerValue = actionContext.Request.Headers.FirstOrDefault(item => item.Key == "validation-value").Value?.FirstOrDefault(); 
      Guid guidValidationValue; 

      if (string.IsNullOrWhiteSpace(headerValue) && !Guid.TryParse(headerValue , out guidValidationValue)) 
      { 
       throw new UnauthorizedAccessException(); 
      } 

      base.OnActionExecuting(actionContext); 
     } 
    } 

あなたのAPIコントローラであなたのAddPost方法にこのカスタム属性を追加します。

[HttpPost] 
[CustomValidateRequest] 
public async Task<IHttpActionResult> AddPost...//rest of your code 

サービス側では、このヘッダー値をヘッダーに追加する必要があります。ような何か：

addPosts(url, data) { 
    let headers = new Headers(); 
    headers.append('validation-value', 'your-guid-value-or-something-else'); 
    return this.http.post(url, { 
     headers: headers 
    }); 
    } 

は、より複雑でより安全なオプションについては、あなたは、偽造防止ミドルウェアhereとhereを実装する方法をチェックアウトすることができます。