CORS/JSONP用的WebAPI安全愁楚

我想知道是否有與我的方案的簡化分辨率是人在那裏，我現在的想法。CORS/JSONP用的WebAPI安全愁楚

我有一個WebAPI服務，我想在另一個域上比我的網站調用它。此服務已被保護，因此需要基本身份驗證。

我想從jQuery中調用它，因爲您無法設置請求標頭，所以您無法發送「jsonp」請求，而且我不能使用json，因爲我必須使用CORS其中IE6/7不支持，所以這也不可行。

是否有任何其他選項可用於讓我的方案工作？

如果你在JavaScript中創建auth頭，這將使您的身份驗證/安全沒有實際意義（客戶端=憑證到任何客戶端可見）。

您還可以發送基本身份驗證憑據在URL（而不是標題）：http://user:[email protected]_domain.com（不你應該）。

您可以在調用應用程序中創建/調用服務器端「代理」，該代理實際上可以執行http request - 您可以完全控制所需的任何標題。

由於您正在實施基本身份驗證明文，所以希望您也可以使用SSL。您的憑證對客戶端不可見（該呼叫是服務器端）。

然後調用將是「本地」到您的Javascript/jQuery。

問題：它幾乎使認證沒有實際意義（太），除非你過濾/驗證請求代理。

H個....

2012-09-04 15:22:49 EdSF

我想創建一個代理，其中也將是一個的WebAPI的，但我看到沒有人在網絡上的其他實際建議，作爲一個解決方案，因爲這將是介紹 - > WebAPI（客戶端） - > WebAPI（跨域） - >數據。這是你在這裏概述的嗎？ –

回答