Question

我们如何验证/授权WCF RESTful服务（使用webHttpBinding（而不是像SOAP案例中的wsHttpBinding））？即我们希望使用Membership / Roles来允许（或禁止）用户根据他的角色使用每个Web方法。

提前致谢。伊兰。

Answer 1

您可以使用证书来保护服务或在标头中发送用户名和密码。然后，您可以通过向服务实施IAuthorizationPolicy来添加行为，这样您就不必在公开的每个Web服务方法中实施安全检查。

public class CertificateAuthorizationPolicy : IAuthorizationPolicy
{

    public bool Evaluate(EvaluationContext evaluationContext, ref object state)
    {
        IIdentity identity;
        object untypedIdentities;
        if (!evaluationContext.Properties.TryGetValue("Identities", out untypedIdentities))
        {
            identity = null;
            return false;                                                                                                             
        }

        var identities = (IEnumerable<IIdentity>)untypedIdentities;

        identity = identities.Where(item => item.AuthenticationType == "X509").FirstOrDefault();

        var claimSet = (X509CertificateClaimSet)evaluationContext.ClaimSets[0];
        var certificate = claimSet.X509Certificate;

    }

在web.config中，您告诉服务使用授权策略

    <behavior name="CertificateSecurityServiceBehavior">
      <serviceMetadata httpGetEnabled="true" httpsGetEnabled="false" />
      <serviceDebug includeExceptionDetailInFaults="true" />
      <serviceAuthorization principalPermissionMode="Custom">
        <authorizationPolicies>
          <add policyType="CertificateAuthorizationPolicy, MyAssembly.Security" />
        </authorizationPolicies>
      </serviceAuthorization>
      <dataContractSerializer maxItemsInObjectGraph="2147483647" />
    </behavior>

另一种选择是在IIS服务器上设置SSL，以便它需要SSL和客户端证书才能连接到任何页面。

RESTful WCF服务安全性

1 个答案: