案例:受保護的 Web API

在此案例中,您會了解如何公開 Web API。 您也會了解如何保護 Web API,以便只供通過驗證的使用者存取。

若要使用 Web API,請啟用已使用公司和學校帳戶通過驗證的使用者,或啟用 Microsoft 個人帳戶。

特性

以下是要保護 Web API 所需要知道的特定資訊:

  • 應用程式註冊必須公開至少一個範圍或至少一個應用程式角色
    • 範圍會由代表使用者所呼叫的 Web API 來公開。
    • 應用程式角色會由精靈應用程式 (會代表自己呼叫 Web API) 所呼叫的 Web API 來公開。
  • 如果建立新的 Web API 應用程式註冊,請將 Web API 所接受的存取權杖版本選擇為 2。 若為舊版的 Web API,可接受的權杖版本會是 null,但此值會限制登入對象只能是組織,且不會支援個人的 Microsoft 帳戶 (MSA)。
  • 在呼叫 Web API 時,Web API 的程式碼設定必須驗證所使用的權杖。
  • 控制器動作中的程式碼必須驗證權杖中的角色或範圍。

若您不熟悉使用 OAuth 2.0 與 OpenID Connect 的身分識別與存取管理 (IAM),或甚至第一次使用 Microsoft 身分識別平台上的 IAM,則應將下列文章集優先加入您的閱讀清單。

雖然在完成您的第一個快速入門或教學課程之前不需要閱讀,但這些文章涵蓋平台不可或缺的主題,而且熟悉這些主題將可在建置更複雜的案例時,協助您順利進行。

Microsoft 身分識別平台

後續步驟

移至此案例的下一篇文章,應用程式註冊