ユーザーがAPIにログインできるようにする
リクエストと共に有効なフォーム認証Cookieを送信する必要があります。このCookieは通常LogOn、[FormsAuthentication.SetAuthCookieメソッドを呼び出して認証（アクション）するときにサーバーによって送信されます（MSDNを参照）。
したがって、クライアントは2つのステップを実行する必要があります。
LogOnユーザー名とパスワードを送信して、HTTPリクエストをアクションに送信します。次に、このアクションはFormsAuthentication.SetAuthCookieメソッドを呼び出し（資格情報が有効な場合）、応答でフォーム認証Cookieを設定します。[Authorize]最初のリクエストで取得したフォーム認証Cookieを送信して、保護されたアクションにHTTPリクエストを送信します。
例を見てみましょう。Webアプリケーションで2つのAPIコントローラーが定義されているとします。
認証の処理を担当する最初の1つ：
public class AccountController : ApiController
{
public bool Post(LogOnModel model)
{
if (model.Username == "john" && model.Password == "secret")
{
FormsAuthentication.SetAuthCookie(model.Username, false);
return true;
}
return false;
}
}
もう1つは、許可されたユーザーのみが表示できる保護されたアクションを含みます。
[Authorize]
public class UsersController : ApiController
{
public string Get()
{
return "This is a top secret material that only authorized users can see";
}
}
これで、このAPIを使用するクライアントアプリケーションを作成できました。ささいなコンソールアプリケーションの例を次に示します（Microsoft.AspNet.WebApi.ClientとのMicrosoft.Net.HttpNuGetパッケージがインストールされていることを確認してください）。
using System;
using System.Net.Http;
using System.Threading;
class Program
{
static void Main()
{
using (var httpClient = new HttpClient())
{
var response = httpClient.PostAsJsonAsync(
"http://localhost:26845/api/account",
new { username = "john", password = "secret" },
CancellationToken.None
).Result;
response.EnsureSuccessStatusCode();
bool success = response.Content.ReadAsAsync<bool>().Result;
if (success)
{
var secret = httpClient.GetStringAsync("http://localhost:26845/api/users");
Console.WriteLine(secret.Result);
}
else
{
Console.WriteLine("Sorry you provided wrong credentials");
}
}
}
}
次に、2つのHTTPリクエストがネットワーク上でどのように見えるかを示します。
認証リクエスト：
POST /api/account HTTP/1.1
Content-Type: application/json; charset=utf-8
Host: localhost:26845
Content-Length: 39
Connection: Keep-Alive
{"username":"john","password":"secret"}
認証応答：
HTTP/1.1 200 OK
Server: ASP.NET Development Server/10.0.0.0
Date: Wed, 13 Jun 2012 13:24:41 GMT
X-AspNet-Version: 4.0.30319
Set-Cookie: .ASPXAUTH=REMOVED FOR BREVITY; path=/; HttpOnly
Cache-Control: no-cache
Pragma: no-cache
Expires: -1
Content-Type: application/json; charset=utf-8
Content-Length: 4
Connection: Close
true
保護されたデータのリクエスト：
GET /api/users HTTP/1.1
Host: localhost:26845
Cookie: .ASPXAUTH=REMOVED FOR BREVITY
保護されたデータに対する応答：
HTTP/1.1 200 OK
Server: ASP.NET Development Server/10.0.0.0
Date: Wed, 13 Jun 2012 13:24:41 GMT
X-AspNet-Version: 4.0.30319
Cache-Control: no-cache
Pragma: no-cache
Expires: -1
Content-Type: application/json; charset=utf-8
Content-Length: 66
Connection: Close
"This is a top secret material that only authorized users can see"