加密服务端，解密客户端（AES）

Question

我希望这是非常明显的：

我有我的查询ASPNET角色提供数据库中的身份验证服务。 认证服务将角色详细信息传递回用户对象内的客户端。 使用该角色，我查询我的web.config以确定用户可以看到的值。

安全团队已完成审阅，他们可以看到User对象的Roles属性。他们拦截这个响应，用“管理员”角色欺骗它，并用这个查询我的web配置。

我正在寻找AES加密服务，在客户端解密，但我遇到了解密用户对象内的只读问题。

有没有人有更好的想法，建议？

谢谢， 迈克

Answer 1

如果你想避免欺骗，你可以签署您发送的响应和有什么接收消息与角色验证签名。这通常使用公钥密码学（通常使用X.509证书）完成。

在更为一般的说明中，是否考虑过使用现有的基础结构（例如Kerberos/ActiveDirectory）？