使用ServiceStack进行跨域OAuth身份验证

Question

我想使用我的API网站进行用户身份验证和授权,理想情况下我的UI网站纯粹是静态内容(html,js,css).我已经配置了ServiceStack的OAuth和OpenId(以及凭据/基本)提供程序,因此他们回答了api.mysite.com/auth/{provider}请求

我希望能够让www.mysite.com的用户能够通过ajax进行身份验证,然后调用API站点.

该BootstrapApi示例项目 -虽然非常有用-演示了API和网站上的同一个域中运行.

• 使用静态javascript客户端可以/安全吗？
• 我可以在子域之间共享cookie吗？
• 我可以将访问令牌返回给客户端并在每次请求之前使用它来计算Authorization标头吗？

Answer 1

为了解决您的问题 -

• 使用静态 javascript 客户端这可能/安全吗？是的
• 我可以在子域之间共享 cookie 吗？是的
• 我可以将访问令牌返回给客户端并在每次请求之前使用它来计算授权标头吗？当然可以，但您也可以只使用内置的身份验证 cookie。

只需在顶级域上设置 cookie 即可，类似于@ServiceStack - 域和子域的身份验证中显示的内容