WCF + 用户凭证

Question

我正在开发 Silverlight v3 Web 应用程序，我希望安全地访问我用来获取数据的 WCF 服务。 我目前的 WCF 工作得很好，但它不需要任何用户凭据。

我对 WCF 这方面的经验不是很丰富，所以我的第一个想法是向我的每个服务操作添加用户名和密码参数。 我遇到的问题是，这将需要大量冗余代码，并且用户名和密码将以纯文本形式通过网络传输。

我想要的是一种在创建服务代理后立即在客户端预先指定凭据的方法（我正在使用从“添加服务引用”自动生成的代理）。

在谷歌搜索解决方案时，我只能找到与我的第一个想法类似的解决方案（使用用户名/密码参数）。 有人可以指出我正确的方向吗？

谢谢！

Answer 1

这些用户名和密码从哪里来？ 如果您的网站已经实现了表单身份验证，那么您可以绕过自己设置凭据并使用表单身份验证 cookie。 如果您的用户已登录，则 cookie 将随 Web 服务调用一起传输。 为了在另一面阅读它，您需要进行一些更改。

首先，您需要在 system.ServiceModel 部分中为 WCF 启用 ASP.NET 兼容模式：

<system.serviceModel>  
    <serviceHostingEnvironment aspNetCompatibilityEnabled="true" /> 
</system.serviceModel>

完成后，对于您想要了解 ASP.NET cookie 的每个服务方法，将 [AspNetCompatibilityRequirements] 属性添加到您的服务类

[ServiceContract]
[AspNetCompatibilityRequirements(
    RequirementsMode = AspNetCompatibilityRequirementsMode.Allowed)]
public class ExampleService
{
}

中。方法您可以访问 HttpContext.Current.User.Identity 对象来发现用户的身份。

如果您只希望经过身份验证的用户调用某些方法，那么您可以使用PrincipalPermission，因此

[OperationContract]
[PrincipalPermission(SecurityAction.Demand, Authenticated=true)]
public string Echo()

如果您使用ASP.NET的角色提供程序，那么这些方法也会被填充，然后您可以在方法上使用PrincipalPermission来限制它们特定角色的成员：

[OperationContract]
[PrincipalPermission(SecurityAction.Demand, Role="Administators")]
public string NukeTheSiteFromOrbit()

这显然也适用于 Silverlight2。

Answer 2

不要自己动手并添加显式参数 - 这确实是太多的工作！

查看 WCF 安全功能 - 其中有很多可用！ 例如，您可以保护消息并在消息中包含凭据 - 所有这些都是开箱即用的，无需您进行额外的编码！

查看 Michele Leroux Bustamante 撰写的关于 WCF 安全性的精彩文章： http://www.devx.com /codemag/Article/33342

在您的情况下，我建议使用用户名凭据进行消息安全 - 您需要在两端进行配置：

服务器端：

<bindings>
  <basicHttpBinding>
    <binding name="SecuredBasicHttp" >
      <security mode="Message">
        <message clientCredentialType="UserName"/>
      </security>
    </binding>
  </basicHttpBinding>
</bindings>
<services>
  <service name="YourService">
    <endpoint address="http://localhost:8000/MyService"
              binding="basicHttpBinding"
              bindingConfiguration="SecuredBasicHttp"
              contract="IYourService" />
  </service>
</services>

并且您需要申请在客户端进行相同的设置：

<bindings>
  <basicHttpBinding>
    <binding name="SecuredBasicHttp" >
      <security mode="Message">
        <message clientCredentialType="UserName"/>
      </security>
    </binding>
  </basicHttpBinding>
</bindings>
<client>
    <endpoint address="http://localhost:8000/MyService"
              binding="basicHttpBinding"
              bindingConfiguration="SecuredBasicHttp"
              contract="IYourService" />
</client>

现在您的服务器和客户端就安全性达成一致 - 在客户端上，您将指定要使用的用户名和密码，如下所示：

YourServiceClient client = new YourServiceClient();

client.ClientCredentials.UserName.UserName = "your user name";
client.ClientCredentials.UserName.Password = "top$secret";

在服务器端，您需要设置如何这些用户凭据正在被验证 - 通常是针对 Windows 域 (Active Directory) 或针对 ASP.NET 成员资格提供程序模型。 无论如何，如果无法根据您定义的存储验证用户凭据，则调用将被拒绝。

希望这会有所帮助 - 安全性是 WCF 中的一个大主题，并且有很多很多选项 - 它可能有点令人畏惧，但最终，通常它确实有意义！ :-)

马克

Answer 3

您可以传入某种身份验证对象并使用 WCF 在消息级别对其进行加密。 然后可以使用 C# 方面 (http://www.postsharp.org/) 来避免冗余逻辑。 这是一种非常干净的处理方式。