共用方式為


驗證 RESTful Web 服務

HTTP 支援使用數種驗證機制來控制資源的存取。 基本身份驗證僅提供資源存取權給具有正確認證的用戶端。 本文示範如何使用基本身份驗證來保護 RESTful Web 服務資源的存取。

注意

在 iOS 9 和更新版本中,應用程式傳輸安全性 (ATS) 會強制執行因特網資源(例如應用程式後端伺服器)與應用程式之間的安全連線,以防止意外洩漏敏感性資訊。 由於 ATS 預設會在針對 iOS 9 建置的應用程式中啟用,因此所有連線都會受限於 ATS 安全性需求。 如果連線不符合這些需求,它們將會失敗併發生例外狀況。 如果無法使用 HTTPS 通訊協議和保護因特網資源的通訊,則可以退出宣告 ATS。 您可以藉由更新應用程式的 Info.plist 檔案來達成此目的。 如需詳細資訊,請參閱 應用程式傳輸安全性

透過 HTTP 驗證使用者

基本身份驗證是 HTTP 支援的最簡單驗證機制,且牽涉到用戶端將使用者名稱和密碼傳送為未加密的 base64 編碼文字。 其運作方式如下:

  • 如果 Web 服務收到受保護資源的要求,它會拒絕 HTTP 狀態代碼為 401(拒絕存取)的要求,並設定 WWW-Authenticate 回應標頭,如下圖所示:

Basic Authentication Failing

  • 如果 Web 服務收到受保護資源的要求,且 Authorization 標頭已正確設定,Web 服務會以 HTTP 狀態代碼 200 回應,這表示要求成功,且要求的資訊位於回應中。 下圖顯示此案例:

Basic Authentication Succeeding

注意

基本身份驗證只能透過 HTTPS 連線使用。 透過 HTTP 連線使用時, Authorization 攻擊者擷取 HTTP 流量時,可以輕鬆地將標頭譯碼。

在 Web 要求中指定基本身份驗證

基本身份驗證的使用指定如下:

  1. 字串串 “Basic” 會新增至 Authorization 要求的標頭。
  2. 使用者名稱和密碼會合併成字串,格式為 「username:password」,然後以base64編碼並新增至 Authorization 要求的標頭。

因此,標頭的使用者名稱為 'XamarinUser' 和 'XamarinPassword' 的密碼會變成:

Authorization: Basic WGFtYXJpblVzZXI6WGFtYXJpblBhc3N3b3Jk

類別HttpClient可以在 屬性上HttpClient.DefaultRequestHeaders.Authorization設定Authorization標頭值。 HttpClient由於實例存在於多個要求之間,Authorization因此標頭只需要設定一次,而不是在提出每個要求時,如下列程式代碼範例所示:

public class RestService : IRestService
{
  HttpClient _client;
  ...

  public RestService ()
  {
    var authData = string.Format ("{0}:{1}", Constants.Username, Constants.Password);
    var authHeaderValue = Convert.ToBase64String (Encoding.UTF8.GetBytes (authData));

    _client = new HttpClient ();
    _client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue ("Basic", authHeaderValue);
  }
  ...
}

然後,當對 Web 服務作業提出要求時,要求會以 Authorization 標頭簽署,指出使用者是否有叫用作業的許可權。

重要

雖然此程式代碼會將認證儲存為常數,但不應以不安全的格式儲存在已發佈的應用程式中。

處理授權標頭伺服器端

REST 服務應該使用 [BasicAuthentication] 屬性裝飾每個動作。 這個屬性是用來剖析標頭,Authorization並藉由比較base64編碼認證是否有效,與儲存在Web.config中的值進行比較。雖然此方法適用於範例服務,但需要擴充公開的 Web 服務。

在 IIS 所使用的基本驗證模組中,用戶會根據其 Windows 認證進行驗證。 因此,用戶必須在伺服器的網域上擁有帳戶。 不過,基本身份驗證模型可以設定為允許自定義驗證,其中使用者帳戶會針對外部來源進行驗證,例如資料庫。 如需詳細資訊,請參閱 ASP.NET 網站上的 ASP.NET Web API 中的基本身份驗證。

注意

基本身份驗證並非設計用來管理註銷。因此,註銷的標準基本身份驗證方法是結束會話。