是使用WsHttpBinding中的UserNamePasswordValidator進行身份驗證使用消息安全性是安全的？

Question

基本上我有一個Web應用程序和WCF服務與usernamepassword驗證使用WSHttpBinding使用郵件安全。一旦服務客戶端得到驗證，我將客戶端存儲在Session中，以訪問服務端的所有其他Web方法。

這種方法是否正確？或者我應該使用安全令牌服務？

請告訴我。

感謝

Answer 1

這是一個可行的辦法，一個是我們廣泛使用，但使用它的時候，你應該非常小心。

我們始終在客戶端應用程序加密我們的密碼，並在WCF服務，或者解密更好的是，用戶的以前加密的密碼比較，如果我們控制密碼存儲即使通信是通過HTTPS。