ASP.Net Web API REST应用如何存储单次获取的用户凭据以随各发往本地SharePoint的请求携带认证

移动端直连SharePoint架构下的本地存储方案 #

• 优先使用操作系统提供的安全沙盒密钥存储区：Android端依托Keystore、iOS端依托Keychain，这类存储区域由系统层面做加密隔离，仅当前应用经用户授权后可访问，存储的凭据不会被其他第三方应用读取。绝对不要把用户名密码明文存在应用配置文件、普通沙盒目录、SharedPreferences、NSUserDefaults中，这类存储内容在设备被root/越狱的情况下会被直接提取。
• 跨端统一存储场景可使用加密本地数据库：用SQLCipher实现整库加密存储，加密密钥单独存在上述系统密钥库中，用户名、密码字段全程不落地明文，即便应用本地数据库文件被提取，没有密钥也无法解析内容。
• 存储层面做时效控制：凭据的持久化周期需要和用户登录态绑定，不要做永久化存储，凭据过期后直接引导用户重新完成授权，降低凭据泄露后的影响范围。

有自有ASP.NET Web API中转层架构下的服务端缓存方案 #

这种架构下移动应用不直接连接SharePoint站点，所有SharePoint请求经自有Web API转发，是安全性更高的实现路径：

• 凭据不下发移动端：用户首次授权拿到SharePoint的用户名密码后，Web API直接在服务端生成和用户身份绑定的短期随机会话令牌，将SharePoint凭据加密存储在服务端内存缓存或分布式缓存中，移动端后续请求仅需携带自有会话令牌，完全不接触SharePoint的明文凭据。
• 持久化场景的加密处理：如果需要服务端重启后保留缓存凭据，用ASP.NET内置的DataProtectionProvider对凭据做非对称加密后再落盘到数据库或服务器本地存储，加密密钥不硬编码在代码仓库、不随项目发布，从根源上避免凭据被批量窃取。
• 缓存的凭据设置自动过期机制：和SharePoint侧的密码有效期、用户登录态时效保持对齐，过期后自动清除缓存内容，触发重新授权流程。

存储后请求自动携带的配套实现 #

• 统一封装HTTP出站请求的消息处理器：ASP.NET Web API侧可继承DelegatingHandler、移动端可基于平台原生HttpMessageHandler实现逻辑，拦截所有发往本地SharePoint域名的HTTP请求，自动从存储位置读取有效凭据，拼接成符合Basic Auth规范的请求头：Authorization: Basic <base64(编码后的用户名:密码)>，不需要在每一个业务接口代码中手动拼接认证信息。
• 内置认证失效处理逻辑：在消息处理器中识别SharePoint返回的401未授权响应，自动清除当前存储的失效凭据，触发重新授权流程，避免无效请求无限重试。

注意：Basic Auth本身的安全依赖传输链路的HTTPS加密，即便本地存储环节做了多层防护，也不要在未加密的HTTP链路中传输凭据，避免被链路抓包窃取。

内容的提问来源于stack exchange，提问作者someone