如何保護不需要身份驗證的公共API？

Question

我做了一個網站的API，這是否遵循服務：

1. 返回該公司當前的職位空缺列表（GET）
2. 適用於當前打開（POST）的任何工作。

該API然後由angularJS前端消耗。我從網上找到的大多數身份驗證信息都需要登錄，但我們的網站並沒有這樣做，所以我不能真正使用令牌持有者。

我必須實施或考慮的事項清單是什麼？是否有任何威脅，我如何解決它們？

Answer 1

你可能可以添加一個ClientId/ClientSecret到你的SPA，並以某種方式安全地發送它作爲每個請求的一部分，可能AngularJs攔截器將幫助。

在webAPI方面只接受那些具有有效clientId的請求，可能使用過濾器。

類似的基礎設施在這裏解釋http://bitoftech.net/2014/07/16/enable-oauth-refresh-tokens-angularjs-app-using-asp-net-web-api-2-owin/（的clientId，ClientSecret部分）

希望這有助於。