根据以下要求保护REST Web API的最佳方法是什么？该系统有一个Angular JS前端,其中包含在ASP.net中实现的REST API.
- 系统中有两个"角色",用户将拥有其中一个角色.一个角色应该允许访问某些API(称之为"VIEW"),另一个角色允许访问其他API
- 所有用户都在Active Directory中,所以如果我有一个用户名,我可以检查他们在哪个角色 - 一些客户端在Windows机箱上,其他客户端在Linux上
- 我想坚持会话,所以我不必为每个API调用查找AD
- 我想单点登录.在Windows机器上,我不要求他们输入用户并通过,因为我已经可以使用Windows身份验证检索他们的用户名.
我相信Oauth将是我最好的选择.