WCF 和身份验证

Question

昨天我开始通过移植现有的 ASP.NET Web 服务来学习 WCF。

创建 WCF 服务本身非常简单。在创建第一个 WCF 服务库项目大约一个小时后，我已经在 WCF 测试客户端中成功测试了我的新 WCF 服务。

现在我想实现一个简单的身份验证系统，但仍然不知道如何实现。为了简单起见，假设我的 Web 服务有三个操作：登录、获取用户名长度和注销。如何完成以下代码中的 TODO？

[ServiceContract]
public class MyService
{
    [OperationContract(IsInitiating = true, IsTerminating = false)]
    public bool Login(string userName, string password)
    {
        /* I have already implemented the function that validades
           whether the user name and password are correct. */
        if (ValidateLogin(userName, password))
        {
            /* TODO: Initiate a session */
            return true;
        }
        else
            return false;
    }

    [OperationContract(IsInitiating = false, IsTerminating = false)]
    public int GetUserNameLength()
    {
        /*
           TODO: How to validate whether the user has logged in?
                 How to obtain the name of the user that has logged in?
        */
        int userNameLength = 42;
        return userNameLength;
    }

    [OperationContract(IsInitiating = false, IsTerminating = true)]
    public void Logout()
    {
        /* TODO: How to logout? */
    }
}

注意：我是粗暴黑客的头号敌人。请引导我走向概念上“干净”的解决方案，无论其复杂性如何。

Answer 1

您遵循的方法对于 WCF 可能不正确。根据上述方法，用户已经通过身份验证，因为它能够调用登录操作。通常，在用户经过身份验证之前，不应允许他/她调用任何操作，但在您的方法中，情况并非如此。

此外，WCF 中的会话是客户端发起的，而不是服务器发起的。但是，根据您的方法，它们似乎是服务器启动的。

以下是一些可以更深入地了解 WCF 安全性的资源，
http://msdn.microsoft.com/en-us/library/ms731925.aspx
改进 wcf 安全指南 - http://wcfsecurityguide.codeplex.com/

如果您想使用自定义 UserNamePassword 验证器，这是链接，
http://msdn.microsoft.com/en-us/library/aa702565.aspx

HTH，
阿米特

Answer 2

看起来您正在尝试在应用程序级别处理身份验证。如果您有特定的业务需要执行此操作，请继续，但如果您只是想确保经过身份验证的用户正在调用您的服务，请使用 内置 WCF 身份验证机制。

此外，您显示的服务契约在 ServiceContract 中缺少此设置：

[ServiceContract(SessionMode=SessionMode.Required)]

以使 IsInitiating 和 IsTerminate 实际工作。创建基于会话的 WCF 服务非常有限，因为您强制服务中的所有方法在登录...注销调用序列之间发生。如果您为应用程序开发多个服务，那么尝试在其自己的会话中协调与每个服务的交互可能非常容易出错。