Webservice安全性 - 什么是最佳选择？

Question

我想确保我们的webserives。但我不完全确定这是如何完成的。不用说，我对此很新。这是我想要的。我想认证用户，让我们说数据库/ activedirecrtory甚至第三方认证。现在，如果用户通过了身份验证，我想使用令牌或主体（特定于计算机）并将其发送到Web服务。这可能吗？如果是的话，该原则是否会以明文发出？基本上我正在寻求关于如何在web服务中实现安全性的指导。

Answer 1

请阅读HTTP Digest Authentication。如果您设置最高的QOP并使用客户端随机数值，那就相当不错了。

您的问题缺少一些非常重要的架构细节。如果您使用的是REST，那么您必须使用诸如HTTP Digest之类的东西。您可能还想使用SSL。

Answer 2

如果您使用的是WCF，那么缺省情况下将使用wsHttpBinding，它使用WS-Security。然后您可以选择如何验证用户。我相信默认会是Windows身份验证。