c# - WCF 安全实现设计问题

Question

我有创建 ASP.net/WinForms 应用程序的经验，现在我想通过创建一个简单的任务管理器项目来学习 WCF。

预先感谢您阅读传入的文本 block 。我的问题更多是设计问题，而不是实际的编码问题。

我的目标是:

• 创建一个 Web 服务(使用 WCF)，其目的是管理任务/待办事项列表
• Web 服务将允许用户注册帐户、创建新的待办事项列表、与其他用户共享待办事项列表等
• 在 Web 服务正常运行并实现所有内容后，我希望能够在其之上构建一个 ASP.NET 网站并将 Web 服务用于后端

目前我有以下内容:

• 1 个托管网络服务的控制台应用程序
• 1 个控制台应用程序(客户端)用于调用 Web 服务(我以这种方式测试我的 Web 服务)

Web 服务应用程序具有以下配置文件(希望我粘贴它没问题):

<?xml version="1.0" encoding="utf-8" ?>
<configuration>
  <connectionStrings>
    <add name="Tasker_Server.Properties.Settings.TaskerConnectionString"
      connectionString="Data Source=PROPHET\SQLEXPRESS;Initial Catalog=Tasker;Persist     Security Info=True;User ID=sa;Password=stf"
  providerName="System.Data.SqlClient" />
  </connectionStrings>
  <system.serviceModel>
    <services>
      <service name="Tasker_Server.TaskerService" behaviorConfiguration="TaskerServiceBehavior">
        <host>
          <baseAddresses>
             <add baseAddress="http://localhost:8000/TaskerTest/Service" />
          </baseAddresses>
        </host>
        <endpoint name="login" address="username" binding="wsHttpBinding"
              bindingConfiguration="Binding1"
              contract="Tasker_Server.ITasker" />
        <endpoint name="reg" address="reg" binding="wsHttpBinding"
              bindingConfiguration="Binding2"
              contract="Tasker_Server.Contracts.IRegister" />
      </service>
    </services>
    <bindings>
      <wsHttpBinding>
        <binding name="Binding1" receiveTimeout="00:20:00">
          <security mode="Message">
            <message clientCredentialType="UserName"/>
          </security>
        </binding>
        <binding name="Binding2">
          <security mode="None">
            <transport clientCredentialType="None" />
            <message establishSecurityContext="false" />
          </security>
        </binding>
      </wsHttpBinding>
    </bindings>
    <behaviors>
      <serviceBehaviors>
        <behavior name="TaskerServiceBehavior">
          <serviceMetadata httpGetEnabled="true" />
          <serviceCredentials>
            <userNameAuthentication userNamePasswordValidationMode="Custom"
                                customUserNamePasswordValidatorType="Tasker_Server.CustomValidator, Tasker_Server" />
            <serviceCertificate findValue="localhost"
                            storeLocation="LocalMachine"
                            storeName="My"
                            x509FindType="FindBySubjectName" />
          </serviceCredentials>
        </behavior>
      </serviceBehaviors>
    </behaviors>
  </system.serviceModel>
</configuration>

然后我像这样启动 Web 服务:

ServiceHost selfHost = new ServiceHost(typeof(TaskerService));

try {
    selfHost.Open();
    Console.WriteLine("Service is up... (press <ENTER> to terminate)");
    Console.ReadLine();

    selfHost.Close();
}
catch (CommunicationException ce) {
    Console.WriteLine("Exception: {0}", ce.Message);
    Console.ReadLine();
    selfHost.Abort();
}

目前我只有两个契约(Contract):

[ServiceContract(Namespace="http://Tasker_Server")]
public interface ITasker {
    [OperationContract]
    string CheckCredentials(string username, string password);
}

和

[ServiceContract(Namespace="http://Tasker_Register")]
public interface IRegister {
    [OperationContract]
    string RegisterUser(string username, string password, string email);
}

我试图完成的是以下内容:

1. 提供不安全的端点；客户可以调用它并注册一个帐户。
2. 提供一个安全端点(我使用带有自定义 UserNamePasswordValidator 的用户名身份验证)，用户可以通过该端点“登录”并调用所有操作。

我的软件中的这两个功能现在都可以使用。我可以通过不安全的端点注册一个新帐户，并且可以通过在客户端中提供正确的 ClientCredentials 来调用安全端点。

我的问题如下:

1. 据我了解，通过使用 UserName 身份验证，每次客户端调用 Web 服务方法时都会调用自定义验证器中的验证方法(这意味着每次都会运行数据库查询以检查凭据而不是在 session 过期之前登录一次的网站)。这样做有什么根本性的错误吗？

2. 我想到了另一种可能的管理方式(并以某种方式模拟网站的运作方式):

   • 仅将安全端点(用户名身份验证)用于类似于“登录”的操作
   • 如果凭据正确，我将创建一个新的 GUID，将其保存在内存中并在用户名和该 GUID 之间建立关联。
   • 然后所有操作都不需要用户名身份验证，但会有一个附加参数(GUID):如果 GUID 在内存中并与用户关联，则允许操作
   • 注销操作会破坏内存中的 GUID。
   • 我假设我可以在此基础上使用 SSL，这样 GUID 就不会以明文形式发送
   • 这是否违背了 Web 服务安全性的目的，而我只是想重新发明轮子？

哪种方法更好？为什么？

更新: 添加了错误的配置文件。它来自客户端而不是 Web 服务。现在添加正确的。

Answer 1

您使用 guid 的方法很好。见其他问题 WCF ticket base authentication和引用帖子

WCF Custom Message Headers

更新:方法比较。

第一种方法的好处是单个操作的无状态/无 session 。客户端和服务都不需要记住先前身份验证调用的详细信息。但是，如果同一个客户端多次调用，最好记住票证，而不是每次都记住并发送用户名和密码。 如果您担心重复调用数据库，您可以缓存一段时间(例如 30 分钟) 用户名和密码(或它们的更好哈希值)并在进行数据库调用之前比较缓存字典中新请求的详细信息。

第二种方法需要在客户端保持状态(即票证)，所以有点复杂。但它更安全，因为您不需要在整个 session 期间记住用户名和密码。对于您的场景，我更喜欢票证方法。

顺便说一下，登录后我仍然建议使用 https(通常性能损失不是必需的)但它可以防止网络嗅探器窃取票证并使用它代替用户进行一些恶意操作。