安全的WCF服务，除SSL协议外还需要哪种认证？

Question

我有一个SSL证书的服务器，并想用用户名认证实现WCF服务。任何人都可以指出我当前的一个简单例子吗？

我发现很多使用509证书，我不明白为什么会需要额外的一块。我不认为我想把SSL证书给客户。

我认为使用SSL只是使用wshttpbinding和使用https：在调用服务的uri中适当地设置web.config。

在这种情况下，我将只有一个或两个用户（实际上是客户端的应用程序）需要使用该服务，所以我没有看到为商店建立数据库以获取大量登录凭证或任何其他用途的开销像那样。我读过你可以在请求头中传递凭证。我希望我可以让服务本身检查他们没有吨的开销。

我真的很挣扎着爬了如何简单的身份验证可以对服务工作，但我知道我需要另外一些东西到服务是SSL进行加密。

编辑：Hummm阅读更多我得到的印象是，使用https绑定的消息绕过了用户名凭证的任何概念，没有什么神秘的证书进行。我希望在这一点上我没有在服务器的ssl证书上浪费钱。

可以请求的IP被用来只允许一个已知的客户服务？

Answer 1

如果您只需要几个用户，那么请使用内置的Windows authentication - 创建Windows用户帐户，在绑定配置中输入正确的安全选项，即可完成。如果您使用的是非Windows客户端的SOAP，则必须执行一些技巧才能正常通信（通常我们发现使用PHP客户端的NTLM身份验证需要使用curl而不是PHP SOAP客户端库，但是我了解如果您使用AD账户，这变得更容易）。

WCF docs有你AUTH选项的完整描述。