servizio web asmx: autenticazione client

Question

Ho un servizio Web con un sacco di metodi che mi piacerebbe un po 'sicuro. I dati non sono poi così confidenziali, ma mi piacerebbe comunque che limiti l'accesso solo a coloro che utilizzano un determinato ID utente e password memorizzati nel file web.config dei servizi Web. Un client di servizio Windows C# chiamerà questo servizio Web una volta al giorno o alla settimana.

Qualcuno può pubblicare un semplice esempio di come posso farlo? Grazie in anticipo.

Answer 1

ci sono tre approcci generali per la sicurezza ad hoc SOAP:

1. Il primo è quello di passare le informazioni di autenticazione con ogni chiamata.
2. Il secondo è quello di passarlo una volta per ricevere un ID di sessione che viene poi passato con ogni chiamata.
3. Il terzo è essenzialmente uguale al secondo, utilizzando solo i cookie.

Dei tre, vi consiglio il primo metodo, che non richiede il server per mantenere lo stato, ma può essere altrettanto veloce a causa di caching.

Answer 2

Questo è abbastanza simile alla mia domanda: "What should we implement to authorize clients to use our web service?"

abbiamo finito per non pubblicare il WSDL e solo servendo il servizio via https e che richiedono basic authentication. NON utilizzare l'autenticazione di base se non è possibile forzare tutti i client a utilizzare https.

Se questo è un servizio Web .net, ecco la voce del file di configurazione per impedire la pubblicazione di wsdl.

<system.web> 
    <webServices> 
     <protocols> 
     <remove name="Documentation" /> 
     </protocols> 
    </webServices> 
    </system.web> 

Quando si goto pagina, riceverai un messaggio di errore simile al messaggio che si otterrebbe se si è tentato di tirare manualmente giù un web.config da un sito. Come sottolinea Steven, questa è sicurezza attraverso l'oscurità e NON deve essere usato da solo per proteggere il tuo servizio web. Tuttavia, se utilizzato in aggiunta a auth + https di base, è un piccolo extra in più.

client codice lato:

Per accedere a questo servizio Web da un client, aggiungere il riferimento Web il modo normale e nel codice chiamante (supponendo che si chiama il vostro riferimento web WebRef).

WebRef.Url = "url"; 
WebRef.Credentials = new System.Net.NetworkCredential("userid", "password"); 

Inoltre, è possibile esaminare WebRef.PreAuthenticate per salvare alcuni viaggi di andata e ritorno. Tieni semplicemente presente che ti divertirai a provarlo se sei dietro un proxy aziendale. I proxy vengono utilizzati tramite il WebRef da

WebRef.Proxy = new WebProxy("url"); 
WebRef.Proxy.Credentials = new System.Net.NetworkCredential("userid", "password");