Question

我在其余的Web服务世界中是全新的，我在Web上发表了大量文章，试图在ASP.NET中实现REST Web服务（在另一个项目中并行使用webform应用程序）

我想知道WebServices有多安全？我在这里解释了设置教程：http://www.codeproject.com/Articles/128478/Consuming-WCF-REST-Services-Using-jQuery-AJAX-Call

我可以用jquery调用我的webservices，但是没有安全性。

我是否必须安装在安全的HTTP标头中？如果是这样，怎么样？

我想知道的另一件事：一个看html页面源代码的人会轻易找到“passkey”或“login”/“passowrd”没有？

需要你的帮助:(谢谢

编辑：

我使用此代码通过jquery调用我的Rest服务：

function setHeader(xhr) {
    var secretkey = "userid:uCMfSzkjue+HSDygYB5aEg==";
    var hashedUrl = secretkey;
    var hashedUrlBase64 = hashedUrl.toString();
    xhr.setRequestHeader('Authorization', hashedUrlBase64, "1234dgt");
}

$.ajax({
    cache: false,
    type: "GET",
    async: false,
    url: rootWS + "ListeService/GetListeSerie" + "(" + listeId + ")",
    //data: "{'id':'" + listeId + "'}",
    contentType: "application/json; charset=utf-8",
    dataType: "json",
    success: function (response) {
                ...
    },
    error: function (msg) {
        ...
    },
    beforeSend: setHeader

});

这个代码到我的REST WS：

[WebInvoke(Method = "GET", UriTemplate = "GetListeSerie({id})")]
public List<SeriePourListe> GetListeSerie(string id)
{
    if (!Security.AuthenticateUser())
    {
        WebOperationContext.Current.OutgoingResponse.StatusCode = HttpStatusCode.Unauthorized;
        return null;
    }

    //do some stuff
}

public static class Security
{
    public static bool AuthenticateUser()
    {
        WebOperationContext ctx = WebOperationContext.Current;
        string requestUri = ctx.IncomingRequest.UriTemplateMatch.RequestUri.ToString();
        string authHeader = ctx.IncomingRequest.Headers[HttpRequestHeader.Authorization];
        // if supplied hash is valid, user is authenticated
        if (IsValidUserKey(authHeader, requestUri))
            return true;
        return false;
    }
    public static bool IsValidUserKey(string key, string uri)
    {
        string[] authParts = key.Split(':');
        if (authParts.Length == 2)
        {
            string userid = authParts[0];
            string hash = authParts[1];
            if (ValidateHash(userid, uri, hash))
                return true;
        }
        return false;
    }

    private static bool ValidateHash(string userid, string uri, string hash)
    {
        if (!UserKeys.Contains(userid))
            return false;
        string userkey = userid;
        byte[] secretBytes = ASCIIEncoding.ASCII.GetBytes(userkey);
        HMACMD5 hmac = new HMACMD5(secretBytes);
        byte[] dataBytes = ASCIIEncoding.ASCII.GetBytes(uri);
        byte[] computedHash = hmac.ComputeHash(dataBytes);
        string computedHashString = Convert.ToBase64String(computedHash);
        return computedHashString.Equals(hash);
    }
}

Answer 1

取决于所需的安全级别。从jQuery调用会打开代码进行检查，并且可能不安全。一种选择是使用从jQuery调用的代理页面，然后代理页面与webservice通信。此时，代理页面可以设置为基于调用ip，host，隐藏表单字段值等来限制访问。

另一个建议是Base64编码所有请求参数。不是超级安全，但需要更多的工作来窥探眼睛进行解码。

如果您的表单是安全的（例如需要登录才能访问），则将当前用户ID传递给Web服务，然后执行查找以确定在执行任何其他处理之前该用户是否存在于Web服务中是最理想的。

Web服务就是它们，对公众开放。如果返回的信息是安全的，则使用凭证进行访问是必须的。但是，如果您没有任何限制（例如登录访问调用页面），那么从jQuery开始，它将始终容易受到攻击。

这些只是选项。希望它有所帮助。

=================附加示例：

代理页（.aspx）

protected void Page_Load(object sender, EventArgs e) {
        string result = "";


        if (Request.QueryString["srvcmethod"] != null && Request.QueryString["encodedJSONdata"] != null) {

             string decodedJSONRequest = encoder.StringFromBase64(Request.QueryString["encodedJSONdata"].ToString().Trim());
             string wsdlData = GetWebservice("ccAddressAPI", Request.QueryString["srvcmethod"].ToString().Trim(), decodedJSONRequest);

             /*
              * Existance of QueryString('callback') indicates a request initiated from JQuery AJAX on remote server
              * response must be formatted as JSONP to prevent parse failure (eg 'callback(JSON);' )
             */   
             if (Request.QueryString["callback"] != null) {
                 string jsonpCallBack = Request.QueryString["callback"];
                 result = jsonpCallBack + "(" + wsdlData + ");";
             } else {
                 result = wsdlData;
             }

             Response.Write(result);
             Response.End();
         }
    }

    /// <summary>
    /// Performs post to WebService
    /// </summary>
    /// <param name="srvc">Service File Name</param>
    /// <param name="srvcMethod">Method within service to call</param>
    /// <param name="jsonData">JSON Serialized form data</param>
    /// <returns>JSON Serialized string of webservice response</returns>
    private string GetWebservice(string srvc, string srvcMethod, string jsonData) {
        string result = null;
        string wsdlData = null;
        Dictionary<string, object> obj = new Dictionary<string, object>();

        //--define webservice url
        string currentReq = Request.Url.GetLeftPart(UriPartial.Authority);
        string servicepath = "/websrvc/";
        string wsdl = currentReq + servicepath + srvc + ".svc/" + srvcMethod;

        //--initiate webservice request
        try {
            byte[] postData = Encoding.UTF8.GetBytes(jsonData);
            WebRequest request = WebRequest.Create(wsdl);
            request.Method = WebRequestMethods.Http.Post;
            request.ContentLength = postData.Length;
            request.ContentType = "text/json";
            Stream dataStream = request.GetRequestStream();
            dataStream.Write(postData, 0, postData.Length);
            dataStream.Close();

            //--retrieve/store request response
            WebResponse response = request.GetResponse();
            StreamReader reader = new StreamReader(response.GetResponseStream());
            wsdlData = reader.ReadToEnd();
            reader.Close();
            response.Close();

        } catch (Exception ex) {
            logErrors(ex, System.Reflection.MethodBase.GetCurrentMethod().Name);
        }

        return wsdlData;
    }

调用代理页面的jQuery示例

var Base64={_keyStr:"ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/=",encode:function(input){var output="";var chr1,chr2,chr3,enc1,enc2,enc3,enc4;var i=0;input=Base64._utf8_encode(input);while(i<input.length){chr1=input.charCodeAt(i++);chr2=input.charCodeAt(i++);chr3=input.charCodeAt(i++);enc1=chr1>>2;enc2=((chr1&3)<<4)|(chr2>>4);enc3=((chr2&15)<<2)|(chr3>>6);enc4=chr3&63;if(isNaN(chr2)){enc3=enc4=64}else if(isNaN(chr3)){enc4=64}output=output+this._keyStr.charAt(enc1)+this._keyStr.charAt(enc2)+this._keyStr.charAt(enc3)+this._keyStr.charAt(enc4)}return output},decode:function(input){var output="";var chr1,chr2,chr3;var enc1,enc2,enc3,enc4;var i=0;input=input.replace(/[^A-Za-z0-9\+\/\=]/g,"");while(i<input.length){enc1=this._keyStr.indexOf(input.charAt(i++));enc2=this._keyStr.indexOf(input.charAt(i++));enc3=this._keyStr.indexOf(input.charAt(i++));enc4=this._keyStr.indexOf(input.charAt(i++));chr1=(enc1<<2)|(enc2>>4);chr2=((enc2&15)<<4)|(enc3>>2);chr3=((enc3&3)<<6)|enc4;output=output+String.fro mCharCode(chr1);if(enc3!=64){output=output+String.fromCharCode(chr2)}if(enc4!=64){output=output+String.fromCharCode(chr3)}}output=Base64._utf8_decode(output);return output},_utf8_encode:function(string){string=string.replace(/\r\n/g,"\n");var utftext="";for(var n=0;n<string.length;n++){var c=string.charCodeAt(n);if(c<128){utftext+=String.fromCharCode(c)}else if((c>127)&&(c<2048)){utftext+=String.fromCharCode((c>>6)|192);utftext+=String.fromCharCode((c&63)|128)}else{utftext+=String.fromCharCode((c>>12)|224);utftext+=String.fromCharCode(((c>>6)&63)|128);utftext+=String.fromCharCode((c&63)|128)}}return utftext},_utf8_decode:function(utftext){var string="";var i=0;var c=c1=c2=0;while(i<utftext.length){c=utftext.charCodeAt(i);if(c<128){string+=String.fromCharCode(c);i++}else if((c>191)&&(c<224)){c2=utftext.charCodeAt(i+1);string+=String.fromCharCode(((c&31)<<6)|(c2&63));i+=2}else{c2=utftext.charCodeAt(i+1);c3=utftext.charCodeAt(i+2);string+=String.fromCharCode(((c&15)<<12)|((c2&63)<<6)|(c3&63));i+=3}}return strin g}}

    var data = JSON.stringify({
            "EmployeeId": EmployeeId,
            "LoginAccountId": LoginAccountId,
            "CustomerId": CustomerId,
            "CostCentreId": CostCentreId,
            "ParentCostCentreId": ParentCostCentreId,
            "CostCentreAdministratorId": CostCentreAdministratorId,
            "UserType": UserType,
            "optionValList": optionValList
        });

        var jsondata = Base64.encode(data);
        var srvcmethod = 'initCostCentreAddressDataProvider';
        $.ajax({
            url: "[proxypageurl.aspx]",
            type: "GET",
            cache: false,
            contentType: "application/json; charset=utf-8",
            dataType: "jsonp",
            data: { "srvcmethod": srvcmethod, "encodedJSONdata": jsondata },
            error: function (XMLHttpRequest, textStatus, errorThrown) { console.log({ 'XMLHttpRequest': XMLHttpRequest, 'textStatus': textStatus, 'errorThrown': errorThrown }); },
            success: function (jsonRes) {

                var json = JSON.parse(jsonRes);
        //additional processing here               
            }

        });

我讨厌用一个问题回答一个问题，但是你有什么安全需求，以及服务响应的返回类型是什么？

从后面的代码中调用Web方法更加自包含。唯一值得注意的区别是，Web方法通常只能从调用页面或应用程序访问，除非您将响应格式化为JSONP，否则将无法从其他域中获取。 Web服务是公开可用的，默认情况下通常会返回XML，但如果您从Web服务返回JSON，则其他域也无法使用，也不会对您的域提供。

那么可以将您的响应从Web服务格式化为JSON？此时，即使我知道您的服务，我也无法调用它，除非您将其格式化为JSONP。

以上示例将jSONP用于jQuery，因为我的webservice位于调用页面的单独域中。这可以修改为只返回JSON，服务器端逻辑应该仍然有效（但在该用例中它是UNTESTED）。

希望有所帮助。

Answer 2

所以我编写了自己的代理，它似乎有效：

[System.Web.Services.WebMethod()]
[System.Web.Script.Services.ScriptMethod(ResponseFormat = ResponseFormat.Json)]
public static object Call(string WSUrl)
{
    // Create web client.
    WebClient client = new WebClient();
    client.Encoding = Encoding.UTF8;

    // Download string.
    JavaScriptSerializer serializer = new JavaScriptSerializer();
    return serializer.Deserialize<List<object>>(client.DownloadString(WSUrl));
}

可以使用jquery调用它：

$.ajax({
    type: "POST",
    url: "http://localhost:14892/common/proxy.aspx/call",
    data: "{'WSUrl':'" + rootWS + "ListeService/2/GetListeSerie" + "(" + listeId + ")" + "'}",
    contentType: "application/json; charset=utf-8",
    dataType: "json",
    success: function (response) {
        var result = response.d;
        var new_record = "";
        $.each(result, function (index, res) {
            new_record = serieListe(index + 1, res.Id, res.ImageUrl, res.SerieNom, res.SerieSynopsis, res.SerieUrl);
            $('#gridElementsListe').append(new_record);
        });
    },
    error: function (msg) {
        $('#msg').html("Error while calling web service,,")
    }
});

希望它有所帮助。现在我将为我的代理添加一些安全性，因为bphillips建议我。如果您有任何建议有一个良好的安全协议，请不要犹豫，在这里分享;）

如何使用JQUERY客户端调用保护ASP.NET REST

2 个答案: