我可以从一个Web应用程序跨多个服务使用身份验证吗？

Question

这似乎是一种常见的情况，但我无法弄清楚如何让它工作。

我有一个位于源1的公共Web服务。我希望这在多个Web应用程序之间是通用的。它已启用身份验证。

然后我将Web应用程序放在源2上。我希望这个Web应用程序在源1上通过Common进行一些调用（通过javascript）

如果我在原点1关闭Common的身份验证，这些调用可以正常工作。如果我打开它，它会失败，因为Web应用程序不会跨源发送身份验证cookie（或令牌？）。

构建这个的正确方法是什么？

Answer 1

您想要查看所谓的委托。场景的工作方式如下：

1. 用户在您的前端应用程序中对AAD进行身份验证
2. 发出一个对前端应用程序和后端应用程序有效的令牌（这是委托）
3. 您使用提供的令牌并将其转发到后端应用程序并代表用户发出请求

here描述了如何设置这个场景，但你真的不需要中间的API管理。如果您想要将API公开给外部世界或者有多个API需要充当一个外观，那么使用API​​M的原因是有意义的。