在Web服務中使用令牌

Question

我正在構建需要使用Web服務的應用程序;我想實現一個基於令牌的認證如下：

• 用戶名/密碼被髮送到WS
• 如果驗證，服務器發回一個獨特的標誌傳送到客戶端
• 客戶端發送以下所有對WS的調用中的令牌，並且令牌過期時間在此調用後x分鐘更新。

如果我在標記的每個WS調用中發送用戶名（或用戶標識符）我是否做過可接受的WS體系結構，還是應該做更多的事情來提高我的應用程序的安全性？

Answer 1

您描述的身份驗證機制聽起來很像安全標準WS-Trust和WS-SecureConversation指定的身份驗證機制。
我建議您不要從頭開始重新實現身份驗證方案，而要依賴支持WS- *安全標準的庫/框架。