我必須在哪裏放置令牌ID？

Question

我正在開發一個使用asp mvc web api的Web Api。爲了驗證用戶，api實現了一個令牌系統認證，所以用戶必須在請求中發送一個額外的參數，它是一個關鍵值對：token：key。

我的問題是，如果我做一個POST請求API我必須把令牌上的內容體或者我可以孫中山它的URL（如miurl.com?token=aaaaaa）

謝謝

Answer 1

我會將令牌作爲HTTP授權標頭髮送。這被認爲是REST/HTTP的更「標準」。它是在HTTP標準中定義：

http://www.w3.org/Protocols/rfc2616/rfc2616-sec14.html

爲什麼它是更好的原因是

• 的URL將其暴露在瀏覽器歷史記錄等
• 使用郵件正文意味着您必須閱讀整個消息正文才能驗證它，而使用標題意味着您只需要閱讀標題。

要提取令牌並進行認證/授權，可以實現自定義AuthorizeAttribute並通過覆蓋AuthorizeCore()方法讀取來自HttpContext令牌。