启用HTTPS,IIS托管的WCF服务,如何保护它?

时间:2014-04-03 22:12:54

标签: c# wcf security iis ssl

我构建了一个相当简单的WCF服务,我在IIS 7.5实例上托管。我已经采取了必要的步骤来保护ssl证书以启用https。我已经解决了所有各种DNS设置,所以我现在可以在给定的Https://来自世界各地的网址上点击我的WCF。目标是:对将要向服务发送数据的大约5个客户端进行某种客户端/服务器身份验证。获得此服务的最佳方法是什么?这一点非常简单,只有一种方法。我确定web.config以及代码隐藏会有一些变化。非常感谢的例子。

这是Web.config

<!-- language: lang-xml -->
    <?xml version="1.0"?>
<configuration>

  <appSettings>
    <add key="aspnet:UseTaskFriendlySynchronizationContext" value="true" />
  </appSettings>

  <system.web>
    <compilation debug="true" targetFramework="4.5" />
    <httpRuntime targetFramework="4.5"/>
  </system.web>
  <system.serviceModel>

  <services>
    <service name="wcflistener.Service1">
      <endpoint address=""           
      binding="basicHttpBinding"
      bindingConfiguration="secureHttpBinding"
      contract="wcflistener.IService1"/>

      <endpoint address="mex"
      binding="mexHttpsBinding"
      contract="IMetadataExchange" />
    </service>
  </services>

  <bindings>
    <basicHttpBinding>
      <binding name="secureHttpBinding">
        <security mode="Transport">
          <transport clientCredentialType="None"/>
        </security>
      </binding>
    </basicHttpBinding>
  </bindings>

    <behaviors>
      <serviceBehaviors>
        <behavior>
          <!-- To avoid disclosing metadata information, set the values below to false before deployment -->
          <serviceMetadata httpGetEnabled="true" httpsGetEnabled="true"/>
          <!-- To receive exception details in faults for debugging purposes, set the value below to true.  Set to false before deployment to avoid disclosing exception information -->
          <serviceDebug includeExceptionDetailInFaults="true"/>
        </behavior>
      </serviceBehaviors>
    </behaviors>

  </system.serviceModel>

  <system.webServer>
    <modules runAllManagedModulesForAllRequests="true"/>
    <!--
    To browse web app root directory during debugging, set the value below to true.
    Set to false before deployment to avoid disclosing web app folder information.
    -->
    <directoryBrowse enabled="true"/>
  </system.webServer>

</configuration>

非常简单的Service1.svc.cs

 [DataContract]
public class Service1 : IService1
{


    public void SampleMethod(DataTable table, string name)
    {
        //sample method logic here
    } 
}

1 个答案:

答案 0 :(得分:0)

使用WCF,您可以使用多种安全选项,所有这些选项都有其优点/缺点:

  1. SSL +使用Windows身份验证。 (这通常很难用于互联网托管服务,因为每个人都需要与同一个域控制器通信)
  2. SSL +用户名/密码:WCF可以轻松实现此目的,客户端传递用户名/密码,服务可以使用预先配置的值验证值,并允许客户端进一步使用。
  3. 基于证书的身份验证:通常,客户端可以获得服务器证书的公钥,以便他们可以使用该证书来调用服务。然而,这并不能完全识别客户端。任何人都可以获得你的公钥。
  4. 相互证书或双向SSL:这是客户端拥有私钥并将公钥提供给服务的时间。反之亦然,即服务将其公钥提供给客户。
  5. 这取决于您需要的身份验证级别。对于极少数客户,用户名/密码就足够了。 (总是有失去这些的风险)

    对于主要客户2路SSL非常安全,因为人们不会轻易丢失私钥。

    根据您的选择,可以共享更多代码示例。

    对于选项#,请点击此链接。 (您可以在以下步骤中使用您的SSL证书)

    http://codebetter.com/petervanooijen/2010/03/22/a-simple-wcf-service-with-username-password-authentication-the-things-they-don-t-tell-you/