使用WebAPI可以将SAML令牌切换到SWT吗？

Question

我正在使用ASP.NET WebAPI的API工作。身份验证由第三方完成，我们发送了一个我们进行身份验证的SAML令牌（我们提供了要检查的证书）。

但是，我不想对SAML令牌进行验证，因为它非常大，所以我想发出一个简单的Web令牌或类似的东西。我在网上看到的所有例子都有第三方，或者某种发布SWT的身份服务器。

是否有任何理由我不能自己发出令牌？我正在考虑使用wif.swt，或者可能只是自己动手。为了保证令牌安全，我需要考虑什么？

Answer 1

这就是我解释你的建议的方式......你希望第三方向你发送一个SAML令牌，一旦你确认你想发出一个较小的SWT作为会话令牌，然后第三方会用它来跟你的服务（大概是某种到期日期）？

我的第一点是先说一下JSON Web令牌JWT，它的尺寸应该比SWT更小，最重要的是该规范明确说明了令牌应该如何保护（HMAC 256签名或加密）。

有许多图书馆在那里，让你与这些工作：

• JWT
• Microsofts Own
• Thinktecture

如果在上面提到的方法是你是什么之后有一个示例here采用SAML令牌并使用Thinktectur返回JWT会话电子图书馆。