c# - 最佳实践 : Authentication between Silverlight Client and a. 网络服务器

Question

我正在做一个项目，我运行的服务器基本上是一个带有 SQL Server Express 数据库的 .Net C# 应用程序，现在将使用 WCF 实现 Web 服务，然后有不同公司将使用的 Silverlight 客户端进行交互与此服务器。如何以良好且可靠的方式实现用户身份验证？我在这里阅读了很多将在服务器端使用 ASP 的帖子，但我的服务器不是 ASP 服务器。我应该实现它还是有任何其他选择？

我天真的想法是这样的:

• 用户名、密码和公司作为凭据存储在数据库中
• Silverlight 客户端在启动时询问这些凭据并将它们发送到服务器以获得确认。
• 从现在开始，这些凭据将出现在客户端和服务器之间的每次通信中，并且服务器每次都会确认它们。

这是天真和不安全的吗？

Answer 1

由于您使用的是基本网络协议(protocol)，您可以考虑使用 HTTPS channel 和

1) 在 URL 中嵌入凭据 - 只要您使用的是 HTTPS，就可以

2) 在初始验证凭据时从服务获取唯一标识符，然后在所有 future 调用中需要此标识符 - 保存数据库查找，但您仍应留在 https - 如果您使用 http，那么它是根据定义不安全