WCF安全 - 客户端授权

Question

我需要帮助保护我的WCF服务，以便只有授权用户才能调用服务方法。

WCF服务配置了wsHttpBinding并托管在Windows服务下。

客户端应用程序是一个asp.net网站。另外，调用WCF服务的用户已经获得了客户端应用程序的授权，因此只需要在服务端处理请求时确保它们是授权的。

请指导我有什么不同的方式（以及他们的优点和缺点，如果可能的话）到达上面。

谢谢！

Answer 1

如果您正在使用ASP.NET角色提供程序基础结构，则可以通过WCF将用户传递并利用相同的提供程序。这将会很好，因为它会在整个流程边界保持逻辑。

如果您正在使用ASP.NET的Windows组，则同样适用，只需重新授权。

证书是一个选项，但您必须管理它们。

最后，您可以发出访问令牌并在WCF端进行验证。这可以通过扩展WCF来完成（可能在合同级别）。然后，您将不得不通过其他服务管理令牌以强制过期等。