asp.net – REST服务的成员资格/授权

发布时间：2020-12-16 06:45:09 所属栏目：asp.Net 来源：网络整理

导读：我正在研究为现有的asp.net应用程序创建一个WCF REST服务,供各种客户使用,包括 Windows Phone 7,Android,iPhone应用程序等. 创建一个简单的WCF REST服务并从上述平台中使用它并不是问题,而且效果非常好.我正在努力解决的问题是授权. asp.net应用程序使用Memb

我正在研究为现有的asp.net应用程序创建一个WCF REST服务,供各种客户使用,包括 Windows Phone 7,Android,iPhone应用程序等.

创建一个简单的WCF REST服务并从上述平台中使用它并不是问题,而且效果非常好.我正在努力解决的问题是授权.

asp.net应用程序使用Membership提供程序来提供身份验证和授权,我很乐意使用REST服务中的API.

如何保护我的REST服务,以便第一次调用必须进行身份验证(传递用户名和密码)以及跟随调用知道谁“登录”.我猜测authenticate方法必须传回某种令牌,以便在后续的识别调用者的调用中使用.这是否足够安全,因为整个站点/服务都通过SSL？

欢迎任何建议.

解决方法

通常,令牌方法比在每个请求中发送用户名密码(基本身份验证)更好.问题是要正确实现它：虽然基本身份验证非常容易实现,实际上它已经被大多数应用程序和Web服务器实现,但令牌是您需要自己实现的 – 它必须加密,因此客户赢了“理解它,所以你需要一些密钥管理,它也必须有一些到期日期,可能你会想要一些撤销功能.
此外,它将使客户的生活变得更加困难：客户端必须首先进入某个身份验证点,接收有效的服务器,然后在请求中使用令牌,而不是仅将基本身份验证标头附加到每个请求.如果令牌过期,客户端将需要再次转到身份验证点.

因此,如果您有时间和知识,并且您的客户很聪明,那么最好使用令牌方法.否则使用SSL,基本身份验证就足够了.

（编辑：李大同）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!