如何使用 WS-Security 并从 ASMX Web 服务访问 UsernameToken？

Question

好的，我们有一个旧版 ASMX Web 服务，当前在 .NET 3.5 中运行，并且我们正在使用 Visual Studio 2008。

问题是，我们需要添加身份验证，并希望在不破坏的情况下利用 WS-Security 模型当前不需要身份验证的任何现有内部客户端。

我们考虑过添加自定义标头，但这不太符合 WS-Security 风格。此外，升级到 WCF 虽然是一个长期目标，但在短期内并不可行。

有没有办法在VS2008 ASMX Web服务的soap标头中间接访问UsernameToken（假设它是由客户端传递的）？

Answer 1

您可以尝试 Web 服务增强功能 (华尔街英语）3.0。这增加了对 旧 WS-Security 版本的支持（我认为是 2004 版本 - WCF 支持 2005 和 2007 版本）。它位于 ASMX 之上，不会干扰它，并且仍然可以在 .NET 3.5 / WS2008 中工作。

现在来说说缺点：

• VS2008 不支持在客户端代码中添加或更新启用 WSE 的 Web 引用。它会愉快地创建普通的 ASMX 代理类，但不会创建身份验证所需的额外 WSE 代理类。您拥有的任何现有 WSE 代理代码都可以正常编译，但如果您尝试在 IDE 中更新 Web 引用，则会被删除。如果您拥有 VS2005 的副本，则可以使用它来维护或至少在客户端创建 Web 引用。
• AFAIK，WS-Security 的 WSE 实现并不与 WCF 实现 100% 向前兼容。您需要自己使用 WCF 进行一些兼容性测试来确保这一点。

示例

在客户端上指定凭据：

void SetUsernameCredential(WebServicesClientProtocol service, string userName, string password) {
    UsernameToken token = new UsernameToken(userName, password, PasswordOption.SendHashed);
    service.SetClientCredential(token);
}

在服务器上验证凭据：

public class MyUsernameTokenManager : UsernameTokenManager {
    protected override string AuthenticateToken(UsernameToken token) {
        // Authenticate here.
        // If succeess, return an authenticated IPrincipal and the user's password as shown.
        // If failure, throw an exception of your choosing.
        token.Principal = principal;
        return password;
    }
}

在服务器上读取凭据：

IPrincipal principal = RequestSoapContext.Current.IdentityToken.Principal;