c# - WCF REST 的身份验证方法

Question

我有一个 WCF REST 文件服务器，它通过在每个请求中输入两个附加参数(用户名和密码)来验证用户。例如，System.IO.Stream Download(string username, string password, int fileid)

我想对所有方法使用 GET，但我不能这样做，因为我不想在地址栏中显示用户名和密码。相反，我使用的 POST 并不是完全可靠的，但在这种情况下仍然是比 GET 更好的选择。

除了基本的 HTTP 身份验证之外，还有其他更好的用户验证方法吗？最好是能让我使用 GET 而不必在 URL 中包含用户名和密码的东西。

Answer 1

尝试通过将 Http 方法从 GET 更改为 POST 来隐藏用户名和密码基本上没有增加安全性。即使是技术上非常缺乏挑战的人也可以使用几乎任何程序来查看正在发送到服务器的数据。

现在除了明显的用户名密码问题之外，您可以使用 HTTP header 而不是 QueryString 参数将值传回 WCF 服务 (RESTful)。这将允许您使用 GET 方法并在 URL 中不存在这些特定值的情况下仍然传递用户名和密码，但同样，这实际上没有增加安全性。