Autenticare un servizio Web RESTful

HTTP supporta l'uso di diversi meccanismi di autenticazione per controllare l'accesso alle risorse. L'autenticazione di base consente l'accesso alle risorse solo ai client con le credenziali corrette. Questo articolo illustra come usare l'autenticazione di base per proteggere l'accesso alle risorse del servizio Web RESTful.

Autenticazione degli utenti tramite HTTP

L'autenticazione di base è il meccanismo di autenticazione più semplice supportato da HTTP e prevede che il client invii il nome utente e la password come testo con codifica Base64 non crittografato. Il funzionamento è il seguente:

• Se un servizio Web riceve una richiesta per una risorsa protetta, rifiuta la richiesta con un codice di stato HTTP 401 (accesso negato) e imposta l'intestazione della risposta WWW-Authenticate, come illustrato nel diagramma seguente:

• Se un servizio Web riceve una richiesta per una risorsa protetta, con l'intestazione Authorization impostata correttamente, il servizio Web risponde con un codice di stato HTTP 200, che indica che la richiesta è riuscita e che le informazioni richieste sono nella risposta. Questo scenario è illustrato nel diagramma seguente:

Specifica dell'autenticazione di base in una richiesta Web

L'uso dell'autenticazione di base viene specificato come segue:

1. La stringa "Basic" viene aggiunta all'intestazione Authorization della richiesta.
2. Il nome utente e la password vengono combinati in una stringa con il formato "username:password", che viene quindi codificato in base64 e aggiunto all'intestazione Authorization della richiesta.

Di conseguenza, con un nome utente "XamarinUser" e una password di "XamarinPassword", l'intestazione diventa:

Authorization: Basic WGFtYXJpblVzZXI6WGFtYXJpblBhc3N3b3Jk

La HttpClient classe può impostare il valore dell'intestazione Authorization nella HttpClient.DefaultRequestHeaders.Authorization proprietà . Poiché l'istanza HttpClient esiste tra più richieste, l'intestazione Authorization deve essere impostata una sola volta, anziché quando si effettua ogni richiesta, come illustrato nell'esempio di codice seguente:

public class RestService : IRestService
{
  HttpClient _client;
  ...

  public RestService ()
  {
    var authData = string.Format ("{0}:{1}", Constants.Username, Constants.Password);
    var authHeaderValue = Convert.ToBase64String (Encoding.UTF8.GetBytes (authData));

    _client = new HttpClient ();
    _client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue ("Basic", authHeaderValue);
  }
  ...
}

Quindi, quando viene effettuata una richiesta a un'operazione del servizio Web, la richiesta viene firmata con l'intestazione Authorization , che indica se l'utente ha o meno l'autorizzazione per richiamare l'operazione.

Elaborazione del lato server di intestazione autorizzazione

Il servizio REST deve decorare ogni azione con l'attributo [BasicAuthentication] . Questo attributo viene usato per analizzare l'intestazione Authorization e determinare se le credenziali con codifica Base64 sono valide confrontandole con i valori archiviati in Web.config. Anche se questo approccio è adatto per un servizio di esempio, richiede l'estensione per un servizio Web pubblico.

Nel modulo di autenticazione di base usato da IIS gli utenti vengono autenticati con le credenziali di Windows. Pertanto, gli utenti devono avere account nel dominio del server. Tuttavia, il modello di autenticazione di base può essere configurato per consentire l'autenticazione personalizzata, in cui gli account utente vengono autenticati su un'origine esterna, ad esempio un database. Per altre informazioni, vedere Autenticazione di base in API Web ASP.NET nel sito Web di ASP.NET.

Collegamenti correlati

• Utilizzare un servizio Web RESTful
• HttpClient