组织和保护asp.net web api

Question

我是asp.net web api新手，基本上在asp.net中创建了几个简单的web api。现在尝试添加安全性和更多用户，并希望执行以下操作：

• 创建web api
• 使用oauth2安全的网络API
• web api将服务于代理/管理员，用户和访客用户

令我困惑的是以下

• 如果为管理员，用户或访客用户发出令牌，则oauth机制应包含信息

• api应包含不同的控制器以执行相同的操作 例如api / agent / orders，api / user / orders，api / guest / orders或者单个控制器应该实现逻辑以便基于令牌信息返回数据。

不确定问题是否过于宽泛，但想知道应该如何以及何时正确使用令牌以及如何在控制器/操作中组织web api。