1

Criei um Web Api aqui no meu trabalho pra ser consumido por meu projeto Xamarin Forms. Está funcionando 100% e sem problemas... Aí fui informado que na verdade aqui se utiliza 2 web api´s por segurança. Ou seja, terei que criar um Web Api ("frontend") com acesso externo, que funcionaria como um porteiro, passando as chamadas para outro Web Api ("backend") e este, somente este, tem acesso ao BD e só aceita internamente. Como sou iniciante e tomei uma surra pra conseguir construir esse Web Api e ele funcionar, gostaria de uma ajuda em como fazer isso. Eu teria que chamar o WebApi 1 e ele irá transportar os valores digitados pelo usuário até o Web Api 2... este por sua vez terá as chamadas de banco de dados e todos os controllers...após a consulta é que não entendi o que fazer, pois os dados são cuspidos no Json e boa parte eu consegui fazer funcionar na marra pesquisando.

Meu código no Xamarin:

ApiCall apiCall = new ApiCall();

                apiCall.GetResponse<List<Envolvido>>("nomes", "Envolvidos", nomepesquisa, nomemae, nomepai, dtnasc, nrg, ncpf).ContinueWith(t =>
               {
                   //Aqui verificamos se houve problema ne requisição
                   if (t.IsFaulted)
                   {
                       Debug.WriteLine(t.Exception.Message);
                       Device.BeginInvokeOnMainThread(() =>
                       {
                           DisplayAlert("Falha", "Ocorreu um erro na Requisição :(", "Ok");
                           //IsBusy = false;
                       });
                   }
                   //Aqui verificamos se a requisição foi cancelada por algum Motivo
                   else if (t.IsCanceled)
                   {
                       Debug.WriteLine("Requisição cancelada");

                       Device.BeginInvokeOnMainThread(() =>
                       {
                           DisplayAlert("Cancela", "Requisição Cancelada :O", "Ok");
                           //IsBusy = false;

                       });
                   }

                   //Caso a requisição ocorra sem problemas, cairemos aqui
                   else
                   {
                       //Se Chegarmos aqui, está tudo ok, agora itemos tratar nossa Lista
                       //Aqui Usaremos a Thread Principal, ou seja, a que possui as references da UI
                       Device.BeginInvokeOnMainThread(() =>
                          {
                              //IsBusy = false;
                              ListaDados.ItemsSource = t.Result;
                              var count = ListaDados.ItemsSource.OfType<object>().Count();
                              if (count == 0)
                              {
                                  DisplayAlert("Cancela", "Não há dados retornados.", "Ok");
                              }
                              else
                                  Navigation.PushAsync(new ResultadosBuscados(ListaDados.ItemsSource));
                          });

                   }

parte do meu ApiCall que chama o Web Api:

public class ApiCall
    {
        static readonly string ApiUrl = "http://Localhost:1762/api/{0}/{1}?nomePesquisa={2}&nomeMae={3}&nomePai={4}&dtNasc={5}&nrg={6}&ncpf={7}";

            public async Task<T> GetResponse<T>(string controller, string method, string nomepesquisa, 
            string nomemae, string nomepai, string dtnasc, string nrg, string ncpf) where T : class
        {
            var client = new System.Net.Http.HttpClient();


            client.DefaultRequestHeaders.Accept.Add(new MediaTypeWithQualityHeaderValue("application/json"));


            var urllink = string.Format(ApiUrl, controller, method, nomepesquisa, nomemae, nomepai, dtnasc, nrg, ncpf);
            var response = await client.GetAsync(urllink);

            //Lê a string retornada
            var JsonResult = response.Content.ReadAsStringAsync().Result;

            if (typeof(T) == typeof(string))
                return null;

            //Converte o resultado Json para uma Classe utilizando as Libs do Newtonsoft.Json
            var rootobject = JsonConvert.DeserializeObject<T>(JsonResult);
            return rootobject;
        }
}

Meu controller code no Web Api:

[RoutePrefix("api/nomes")]
    public class NomesController : ApiController
    {
        public string GetConnectionString()
        {
            string MeuConnString = "Data Source=(DESCRIPTION ="
                + "(ADDRESS=(PROTOCOL = TCP)(HOST = xxx)(PORT = xxx))"
                + "(CONNECT_DATA = (SERVER = DEDICATED)(service_name = xxx)));"
                + "User Id = xxx; Password=xxx";
            return MeuConnString;
        }


        [HttpGet]
        [Route("Envolvidos")]
        public IEnumerable<Envolvido> GetEnvolv(string nomePesquisa, string nomeMae, string nomePai, string dtnasc
            , string nRG, string nCPF)
        {

            DataSet lretorno = new DataSet();

            string connectionString = GetConnectionString();
            using (OracleConnection connection = new OracleConnection())
            {
                connection.ConnectionString = connectionString;

                OracleDataReader reader = null;
                OracleCommand cmd = new OracleCommand();
                cmd.Connection = connection;
                cmd = new OracleCommand("MOBILE.XAPIMAND.BUSCAPOSCANDIDOSPF", connection);
                cmd.CommandType = CommandType.StoredProcedure;

                //variáveis entrada            
                cmd.Parameters.Add(new OracleParameter("ivnome",nomePesquisa));
                cmd.Parameters.Add(new OracleParameter("ivmae", nomeMae));
                cmd.Parameters.Add(new OracleParameter("ivpai", nomePai));
                cmd.Parameters.Add(new OracleParameter("ivdatanasc", dtnasc));
                cmd.Parameters.Add(new OracleParameter("ivrg", nRG));
                cmd.Parameters.Add(new OracleParameter("icpf", nCPF));
                //variáveis de saida          
                cmd.Parameters.Add(new OracleParameter("oretorno", OracleDbType.RefCursor)).Direction = ParameterDirection.Output;
                cmd.Parameters.Add(new OracleParameter("qretorno", OracleDbType.RefCursor)).Direction = ParameterDirection.Output;

                connection.Open();
                cmd.ExecuteNonQuery();

                reader = cmd.ExecuteReader(CommandBehavior.CloseConnection);

                //CRIO A LISTA
                lretorno.Load(reader, LoadOption.OverwriteChanges, "BUSCAPOSSIVEISCANDIDATOSPF");
                connection.Close();
                connection.Dispose();


                //CARREGO O DATASET E TRANSFORMO PARA IENUMERABLE E RETORNO SEUS VALORES PRO JSON
                return lretorno.Tables[0].AsEnumerable().Select(row => new Envolvido
                {
                    SUSPID = Convert.ToInt32(row["SUSPID"]),
                    IVNOME = Convert.ToString(row["SUSPNOME"]),
                    IVMAE = Convert.ToString(row["SUSPMAE"]),
                    IVPAI = Convert.ToString(row["SUSPPAI"]),
                    IVDATANASC = Convert.ToString(row["SUSPDATANASC"]).Replace(" 00:00:00", ""),
                    IVRG = Convert.ToString(row["RG"]),
                    ICPF = Convert.ToString(row["CPF"]),
                    MANDADO = Convert.ToInt16(row["TEMMANDADO"]),
                    OCORRENCIA = Convert.ToInt16(row["TEMOCORRENCIA"]),

                });


            }
        }

    }
8
  • 1
    Qual o extra de segurança em ter duas API's?
    – Jéf Bueno
    Commented 20/07/2016 às 2:46
  • @jbueno o 1º Web Api ("front") é conectado externamente... este se conecta ao 2º ("back"), que é conectado somente internamente...ou seja, se uma pessoa tentar acessar o BD de fora da rede, teoricamente, não consegue acesso.
    – Mcfer
    Commented 20/07/2016 às 14:22
  • 1
    @jbueno e Marcelo, eu tenho serias duvidas sobre este modelo de segurança, até por que o simples fato de fazer uma requisição ao banco de dados não deve expor o Banco de Dados. agora digamos que a WebAPI 1 tenha um serio problema de segurança que permita à um hack tomar o controle do servidor, neste caso ele vai está dentro da sua rede e terá acesso à WebAPI 2. E por fim, existem situações que é valido ter dois serviços, mas o segundo serviço normalmente WCF e possivelmente teria um binding nettcp e um sistema de autenticação mais restritivo. Commented 20/07/2016 às 14:42
  • @TobyMosque Concordo em partes.... aqui no meu trabalho essa é a estrutura pra tudo! Esse Mobile é o 1ª e de teste, mas pediram pra eu seguir a arquitetura quando fizesse. Só que como sou iniciante, ta dificil. Na minha ApiCall eu tenho a chamada da URL usando System.Net.Http.HttpClient() e depois entro no controller... ou seja, agora, nesse Web Api "porteiro" eu terei que ter outra chamada de URL pro 2º Web Api e além disso, passar os parâmetros, retornando o dataset do 2ª Web Api... Confusão na minha cabeça. Queria que alguem desse um exemplo como seria, utilizando esse meu Código.
    – Mcfer
    Commented 20/07/2016 às 16:16
  • 1
    @MarceloCFernandes neste caso você não deveria ter duas WebAPI, você deveria ter um serviço WCF usando NetPeerTcpBinding com segurança ponto a ponto, apenas lembre-se de configurar as mensagens usando MTOM encoding. Commented 20/07/2016 às 16:21

1 Resposta 1

2

Primeiramente, duas WebAPIs não é mais seguro que apenas uma, esta abordagem não vai proteger o seu sistema de um ataque, tais como MITM, Sql Injection ou qual quer outro ataque que você venha a imaginar.

Se o seu medo é que uma eventual falha grave dê o controle do servidor com à WebAPI 1 à algum hacker, neste caso ele terá acesso total a maquina e a sua rede, então ele conseguiria acessar toda a sua estrutura.

Agora vamos à outro problema, Session, todos os acessos na segunda WebAPI serão realizados pelo mesmo usuário, então não terá uma Session por usuário e terá de utilizar um workaround (que possivelmente vai envolver em utilizar o Cache e adicionar o SessionID como um Header em todas as requisições).

Ainda temos um segundo problema um pouco mais grave, Autenticação e Autorização, como à sua segunda WebAPI vai saber se o usuário que fez a requisição a primeira WebAPI tem acesso. Em resumo você não poderá utilizar o ASP.NET Identity e terá de implementar um solução própria.

Um outro problema envolve transações, digamos que uma requisição da WebAPI 1 precise realizar duas chamadas distintas à WebAPI 2, como você fará um rollback da primeira se a segunda dê errado? um TransactionScope faz falta né?

Mas ainda assim, um sistema com múltiplas camadas ainda tem a sua finalidade, pode ser que eu queira fazer uma camada de apresentação usando AngularJS + WebAPI, e outros sistemas que precisam consumir este serviço e algum deles não possa fazer uma requisição http.

Neste caso você vai precisar de um serviço WCF que ofereça um ou mais bindings que sejam apropriados para as aplicações que estejam consumindo o mesmo. o binding que oferece mais segurança para a comunicação entre duas aplicações feitas em .NET é NetPeerTcpBinding... aqui segue um exemplo.: Peer-to-Peer Programming with WCF and .NET Framework 3.5.

Lembrando que um serviço em WCF permite que você passe uma transação para ele, então você pode criar um TransactionScope na WebAPI, fazer n chamadas ao serviço e fazer um rollback com segurança se necessário.

E para consumir um serviço WCF, basta você adicionar uma Service Reference, o Visual Studio vai ter todo o trabalho de criar as classes de proxy, controlar abertura de canais, envio das mensagens, etc...

Agora você pode me perguntar por que não utilizar o webHttpBinding no WCF e utilizar uma WebAPI como interface para a Web? o primeiro ponto é a concorrência, a Async WebAPI consegue gerir muito melhor um cenário com múltiplas conexões, o outro ponto é quanto as opções de configuração, você terá um leque maior com à WebAPI.

5
  • Gostei da resposta, apesar de não ter entendido a pergunta. xD
    – Randrade
    Commented 20/07/2016 às 17:11
  • 2
    Só uma coisa. Teoricamente, você consegue usar o Identity com esse modelo sim, mas terá uma trabalho maior em ter que passar o usuário para a segunda API manualmente.
    – Randrade
    Commented 20/07/2016 às 17:12
  • 1
    @Randrade verdade, mais ainda acho que seja uma complexidade adicional que não trás nenhum ganho real. Commented 20/07/2016 às 17:18
  • Concordo plenamente. Só comentei porque na sua resposta fala que teria que desenvolver sua própria forma. Dessa forma dá a entender que não é possível usar, e não que não é viável.
    – Randrade
    Commented 20/07/2016 às 17:20
  • @TobyMosque Aqui não tem o perigo do TransactionScope ... O service reference é uma opção. Meu problema é ser leigo e iniciante no assunto. A Infraestrutura daqui não é voltada pro Mobile. Estou querendo saber o que usar pra poder me aprofundar.
    – Mcfer
    Commented 20/07/2016 às 19:26

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .