使用WebAPI进行RESTFul身份验证

JavaScript客户端是独一无二的。您是否在同一个域中安装了Web API和页面？如果没有，您有相同的起始策略限制。如果您拥有托管网页和Web API的相同Web应用程序，则可以使用表单Authn。在这种情况下，您不需要从JavaScript发送包含身份验证单的Cookie。浏览器为您做这些，这是XSRF问题的原因。您必须注意最终用户不应该知道的JavaScript发送凭据。如果JavaScript知道什么，任何智能终端用户都可以了解这些知识。 OAuth 2.0隐性授权可能是一个不错的选择。最终用户输入颁发访问令牌的授权服务器中的凭据(密码)。 JavaScript获取令牌并将其呈现给Web API，但它将永远无法访问凭据。