c# - 我们应该实现什么来授权客户使用我们的网络服务？

Question

我们有一个网络服务，我们将托管在一个公共(public)网络服务器上，它会被托管在医院墙壁内的网络服务器上的网络服务联系。我们已经编写了这两个软件部分，因此我们可以完全控制实现的内容。

我们希望保护两个网络服务器之间的通信。目前，我们唯一拥有的是公共(public)网络服务器上的 https 和用于识别客户端的 guid。

我们可以支持网络级别的授权类型，但我不喜欢依赖这些类型，因为并非我们所有的客户(医院)都能够做同样的事情。有些无法为我们提供静态 IP，有些无法提供 VPN，因此我们不能完全依赖这些方法。

您正在使用什么技术或您推荐哪些技术来授权与您的网络服务的通信？我们主要关心的是防止人们获得医院 ID(目前只有 GUID)和从我们的网络获取数据为医院提供的服务。

我们将采用其他网络级别的安全措施来限制公众对我们系统的访问，但我认为软件解决方案也是必要的。

该系统尚未投入生产，但已接近开发完成。它是在 .net 3.5 上用 C# 开发的

FWIW 我在考虑某种基于 token 的授权，因为我知道以前的雇主使用过类似的东西。但是，我不知 Prop 体要查找什么或有关该主题的任何其他信息。

编辑:虽然我想使用 WCF，但目前团队中没有人(包括我自己)有任何使用经验，我们已经开发了 Web 服务以及交互代码跟他们。使用 .net 2.0 方法添加的所有 Web 引用(来自 vs.net08，针对 .net 3.5)，我们不希望完全重做。我不会说 WCF 不是一个选项，但我认为我们不会心甘情愿地采用该选项。

Answer 1

您能否使用类似基于 https 的基本身份验证来提供具有挑战性的用户名密码？我相信 Microsoft SOAP 对它的支持相当好。您几乎只使用 IIS 配置基本身份验证(必须使用 SSL)，并在您的 C# 中将 ICredentials 传递给您的代理。

通过谷歌搜索，其他语言似乎也支持基于 SOAP 的基本身份验证。