Web服务安全性 - 最佳选择是什么？

Question

我想确保我们的网络安全。但是，我不完全确定如何做到这一点。不用说我对此很陌生。这就是我想要的。我想对用户进行身份验证，比如说数据库/ activedirecrtory甚至是第三方身份验证。现在，如果用户已通过身份验证，我想使用令牌或委托人（特定于计算机）并将其发送到Web服务。这可能吗？如果是的话，原则是否会以明文形式发出？基本上我要求就如何在webservices中实现安全性提供指导。

Answer 1

如果您正在使用WCF，则默认使用wsHttpBinding，它使用WS-Security。然后，您可以选择如何验证用户身份。我相信默认是Windows身份验证。

Answer 2

阅读HTTP Digest Authentication。如果设置最高QOP并使用客户端nonce值，那就非常好了。

您的问题缺少一些非常重要的架构细节。如果您正在使用REST，那么您必须使用HTTP Digest之类的东西。您可能还想使用SSL。