Web Api -基于STS的auth索赔

Question

我正在构建两个独立的 ASP.Net WebApi应用程序，它将在同一个域(而不是子域)下运行，外加一个STS，它处理身份验证并将是用户帐户存储。

客户端与微风. to /angular.js连接到该API。因此，我认为JWT (JSON令牌)将是我对令牌的选择，因为我不想使用forms。

如何通过域名实现STS和应用程序之间的信任？我发现了一些WS联邦信任示例，但我认为这对我需要构建的内容来说太过分了。

Answer 1

不知道你的意思是什么“由域名”。

典型的流动是：

• 客户端从授权服务器(使用OAuth2)请求一个(JWT)令牌
• 客户端使用授权头将令牌发送到API。

JWT由授权服务器签名- API验证签名。

因此，API和授权服务器之间的信任是通过验证令牌(使用签名、颁发者名称和受众名称)来建立的。

另见此处：https://github.com/thinktecture/Thinktecture.AuthorizationServer/wiki