azure移动应用服务安全

我一直在研究azure移动应用服务,我很害怕,因为我觉得我错了。

我有一个azure移动应用服务,问题是我正在尝试为它实现“自定义”身份验证(自定义身份验证的原因是我有一个web应用和web api,它们使用相同的数据库并向移动服务应用发送rest请求以更新数据库,并且它们都使用asp.net标识)

但是,在我在移动应用服务中实现自定义身份验证之前,即使身份验证是自定义的,并且我正在手动检查用户,我也无法理解这一点,一旦生成令牌并授权用户,用户就可以访问表中的所有数据。因此,如果我是user1并登录,移动应用服务将对我进行身份验证,一旦我有了身份验证令牌,我就可以简单地对所有数据执行rest请求。

如何限制生成的令牌仅用于CRID该用户的数据,而在我的表中还有USERID列。

我很困惑。任何帮助都将不胜感激。