WCF basicHttpBinding在ASMX網絡服務中使用用戶名和密碼進行身份驗證

Question

我正在實施IIS託管的wcf web服務，basicHttpBinding這些應該可以通過.net 2.0客戶端訪問，如訪問ASMX服務。

任何機構可以與細節&少數例子/樣本代碼幫助。

感謝
NRK

Answer 1

WCF比ASMX更安全，並堅持這一基本事實：它永遠不會允許您發送純文本憑據不加密的。

這裏需要問自己幾個qusetions：

• 如何保護我的消息從客戶機向服務器，使用戶名/密碼是不以純文本形式發送？
• 我如何檢查用戶名/密碼的有效性，一旦該消息在服務器到達？

對於第一點，你可以做很多事情：

• 確保傳輸層，例如使用HTTPS（使用SSL）來保護從客戶端到服務器的整個管道。在這種情況下，你不必做太多別的 - 整個通信信道保護

• 安全使用加密消息（至少在用戶名/密碼的一部分）。在這種情況下，你需要有至少服務器上的服務證書，以便調用客戶端有一個共享密鑰來加密消息 - 或者你需要安裝客戶端上的證書（通常不是，如果你想有一個好主意每個人都打電話給你的服務）

對於認證部分，你需要決定：使用已經有一個用戶表，可以它爲驗證ASP.NET成員資格子系統

• 憑據提供

• 或滾你自己從頭開始 - 不推薦，除非你真的很需要，有一個非常特殊需要

WCF安全不是一個輕鬆的話題 - 你可以找到如何做某些事情有幫助的信息和方案在這裏：

• WCF Security by the MIcrosoft Patterns & Practice group
• Declarative WCF Security by Juval Lowy

只需你提供的信息的幾件，一個不能真正給出「做這個和那個」的答案。您需要閱讀WCF安全性並確定要實施的方案。我敢肯定，人們在這裏可以幫助您瞭解如何實現某些事情在WCF安全性，如果你的問題是更專注於一個特定的問題/問題更具體的問題。