如何使用WebClient发送在授权标头中包含令牌的Post请求

Question

我正在努力构建两个asp.netmvc web应用程序之间的安全集成；和调用网络扫描应用程序的ERP系统。所以目前在接收器应用程序（网络扫描应用程序）上我有以下操作方法，应该只由ERP系统执行：-

    public async Task<ActionResult> ScanServer(string tokenfrom, string FQDN) //only the ERP system should be able to call this
            {
                string Token = System.Web.Configuration.WebConfigurationManager.AppSettings["Token"];//get the token from the web.config, this should be encrypted

                if (tokenfrom != Token ) // check if the request is authorized by checking comparing the 2 tokens.
                {



                 return new HttpStatusCodeResult(403, "request failed");
//code goes here..
                }

而在调用者系统（ERP系统）上，我有以下调用上述动作方法的动作方法。

[HttpPost]
       [CheckUserPermissions(Action = "", Model = "Admin")]//check if the user is defined as an admin inside my custom authorization system
       public async Task<ActionResult> Scan()
       {
           try
           {

               string currentURL = System.Web.Configuration.WebConfigurationManager.AppSettings["scanningURL"];
               string token = System.Web.Configuration.WebConfigurationManager.AppSettings["Token"];
               using (WebClient wc = new WebClient())
               {
                   string url = currentURL + "home/scanserver?tokenfromtms=" + token + "&FQDN=allscan" ;
                   var json = await  wc.DownloadStringTaskAsync(url);
                   TempData["messagePartial"] = string.Format("Scan has been completed. Scan reported generated");

               }




           }

如上面代码所示，我正在发送一个安全令牌，它存储在两个应用程序的web中。配置文件。通过这种方式，我可以确保（或者这是我的意图）网络扫描应用程序收到的任何请求都是来自ERP系统的（因为他们只知道令牌）。

但是根据我的搜索和阅读，我意识到上述方法可能不是100%安全的，因为这个原因：-

1. 任何有权访问ERP或网络扫描服务器的用户都可以以纯文本形式查看包含令牌的所有URL。因为服务器将所有get请求以纯文本形式存储在其日志中，即使URL是通过https发送/接收的，就像我的情况一样

因此，如果我将令牌作为授权标头的一部分发送，效果会更好。

因此，我的问题是如何在webclient中做到这一点：-

>

目前我正在将令牌作为获取请求发送，如下所示：-

string url=currentURL“主页/扫描服务器”tokenfro=“令牌”

那么我如何修改它以将令牌作为授权标头的一部分发送呢？

谢谢

Answer 1

这是基本身份验证的一个示例。

var creds = string.Format("{0}:{1}", userName, Password);
var bytes = Encoding.ASCII.GetBytes(creds);
var header = new AuthenticationHeaderValue("Basic", Convert.ToBase64String(bytes));
var client = new HttpClient();
client.DefaultRequestHeaders.Authorization = header;

用于检查接收器。

var headers = request.Headers;
if (headers.Authorization != null && headers.Authorization.Scheme.Equals(AuthScheme))
{
    var encoding = Encoding.GetEncoding("iso-8859-1");
    var creds = encoding.GetString(Convert.FromBase64String(headers.Authorization.Parameter));

    var parts = creds.Split(':');
    var userName = parts[0].Trim();
    var pwd = parts[1].Trim();

}