c# - 错误的 ClientCredentials 的常见做法是什么？

Question

我在 SSL 下的本地 IIS 上托管了 WCF 服务。它似乎与 SL 客户端一起工作。但我坚持用户身份验证。我有带有用户名和密码文本框的登录屏幕。一旦用户点击登录按钮，肯定会发生一些事情，但是会发生什么呢？我看到很多示例，其中设置 ClientCredentials 是最后一步。如果用户输入错误的凭据，我该怎么办？调用某些操作后抛出异常。我得到的不是我抛出的错误异常，而是 CommunicationException。

public class UserAuthentication : UserNamePasswordValidator
    {
        public override void Validate(string userName, string password)
        {
            if (string.IsNullOrEmpty(userName) || string.IsNullOrEmpty(password))
            {
                throw new FaultException("Invalid user name or password");
            }
    }

此外，ClientCredentials 在调用某些操作后变为只读。所以我必须以某种方式刷新它。我正在考虑替换端点行为，但我不确定这是不是个好主意。

所以，基本上我的主要问题是:“如果用户输入了错误的凭据，我该怎么办？”

Answer 1

WCF 有两种身份验证。

首先，您可以创建在用户一路访问您的 WCF 界面之前有效的身份验证。因此，如果您使用客户端证书、用户/密码或表单例份验证，这些形式的身份验证将在 WCF 终结点定义中声明。这些身份验证形式会在用户访问您的 ping() 函数之前(实际上)向他们提出质询，从而公开一个 WCF 身份验证事件，在此期间您可以检查客户端的凭据。这很好，因为它可以帮助阻止黑客通过拒绝服务攻击来轰炸您的 WCF 服务，因为完整的请求永远不会在未经身份验证的情况下得到处理。可以在此处找到示例:http://msdn.microsoft.com/en-us/library/aa354513.aspx .

另一种方法更为明显:创建一个由客户端调用的普通 WCF login() 函数，在此期间，客户端程序会交出 ID/密码组合，以便对您的数据库或目录进行全面检查。无论是否使用 SSL，此方法都适用。这是像任何其他端点函数一样编程......这里没有什么特别的。

无论是否使用 SSL，这两种方法都适用。在任何一种情况下，如果凭据错误，您都可以对 login() 或 authentication() 例程进行编程以返回您喜欢的任何错误或消息，包括常规的 401 Unauthorized 错误。