维护 WCF 客户端和服务之间的身份验证？ （提供工作流程）

Question

我想要做的是：

1）对客户端对 WCF 服务进行的第一次调用进行身份验证，这将基于每个用户而不是每个应用程序。

2) 检查客户端是否有权拨打电话。

3) 对于后续调用，仅进行授权，之前的调用已在步骤 1 中进行了身份验证。

或者

如果客户端由于某种原因连接到服务的不同实例，或者“握手”被破坏以重新进行身份验证。

我希望这是有道理的，这是否在使用用户名和密码身份验证和授权的 WCF 中隐式发生，或者我/是否有办法编写自定义的内容？本质上这是为了效率。

非常感谢， 河豚

Answer 1

这称为安全上下文（或安全会话），并且可以通过消息安全来实现。唯一的限制是会话是在单个服务实例和客户端代理之间处理的（所有调用必须在同一代理实例上完成）。

以下是允许安全上下文的一些基本配置：

<wsHttpBinding>
  <binding name="wsHttp">
    <security mode="Message">
      <message clientCredentialsType="UserName" estabilishSecurityContext="true" />
    </security>
  </binding>
</wsHttpBinding>

EstabilishSecurityContext 默认情况下为 true。当您打开此功能时，将使用 WS-SecureConversation 协议。第一次调用会传递经过身份验证的凭据，并向客户端颁发安全令牌。接下来的调用使用此安全令牌来提供客户端身份。此行为对于开发人员来说是透明的，因此您根本不必处理令牌。