c# - 保护 wcf 服务的模式和良好实践

Question

我正在构建一个需要保护的 wcf 服务，因为客户与该服务相互交换的信息对公司来说是敏感的。我计划将其托管在 iis6 上。确保除了客户端应用程序之外没有人可以调用服务来获取/设置数据的最佳做法是什么？

服务调用需要以用户的真实身份进行，因为所有调用都必须受到监控和审计。我计划使用 PolicyInjection 进行审计调用。

Answer 1

这一切都取决于。

但基本上有两种主要方法:

• 通过带有 basicHttpBinding 的 SSL 实现传输安全
• 使用 wsHttpBinding 的 SSL 安全性

如果你提供更多的信息，我应该可以帮助你更多。

安全的某些方面:

1) 数据完整性:没有人篡改过数据，但数据本身不是 secret 。这是通过签名实现的。

2) 数据安全:这是为了防止任何人看到敏感/ secret 信息。这是通过加密。

3) 身份验证:这是通过发送用户名/密码或使用证书。这可以确保提出 claim 的人是同一个人。

4) 授权:这是为了确保此人可以访问服务中的特定功能。