将不记名令牌API后端与MVC前端结合使用(单独的应用程序)

Question

这个问题似乎被问了很多，但我恐怕需要更多的帮助。

我有一个使用不记名令牌的WebAPI应用程序。它工作得很好。

我想内置到我单独的(不在同一服务器上) MVC应用程序中，并使用持有者令牌身份验证。

我想使用MVC中烘焙的东西，而不是我自己的。

我可以很容易地在MVC中调用API，获取令牌，然后从API请求受保护的资源，将令牌添加到auth头中，它工作得很好。

我需要的是如何管理登录/注销，对控制器操作的'Authorize‘属性的支持，对MVC中'User.IsAuthenticated’的支持，等等。

MVC应用程序本身是否有一些配置可以简化持有者令牌的使用(如startup.auth配置)，而不必想出一些基于会话对象的方法来存储持有者令牌？

谢谢。

Answer 1

我实现了类似的东西，实际上您的MVC应用程序不应该使用这些持有者令牌来进行“身份验证”。最好是在MVC应用程序中使用cookie身份验证，将您的访问令牌存储在cookie的声明中。至少我是这么做的。因此，在MVC app中通过cookie进行身份验证，并使用承载令牌调用REST服务(WebApi)。或者，如果这与您的“Kugey session基于对象的方式或存储”有关，请原谅我的回答;-)