wcf webhttp 认证

Question

我正在使用 WCF Webhttp 服务。我创建了一堆服务，剩下的就是放入用户身份验证...

问题

与其余架构风格保持一致，我是否应该针对用户 db 验证每个服务调用。
如果是这样，我应该在每次调用服务时提供凭据和密码来进行身份验证，并使用 SSL 使其安全。基本上，每个 webget/webinvoke 函数都应该包含用户凭据作为参数，并且我对每个调用进行身份验证。这是正确的吗？这似乎相当低效。

以某种方式使用 session key 似乎是错误的，但是有关如何在 WCF Webhttp 中使用 session 的任何指示？

我没有使用 ASP .net 成员资格(很快就会研究它)，因为我正在使用 Mysql 并创建了我自己的注册/用户数据库。我应该看那个吗？我可以将 wcf 身份验证服务与 wcf webhttp 服务一起使用吗？

任何有关在 WCF webhttp 服务中处理身份验证的文献都会有很大帮助。

非常感谢

Answer 1

您可以查看 的第 8 章RESTful .NET 书 ( Amazon , Google books )

您将仅对来自用户的第一次调用进行身份验证，任何后续调用都将使用经过身份验证的用户的上下文。如何使用 SSL(TLS) 有多种选择，例如始终或仅在您发送用户名/密码时。

我不确定您存储身份验证 token 的确切位置和方式(例如在 Session 或类似类型中)。

您不需要使用 ASP.NET 成员资格提供程序，实际上您可能根本不使用任何成员资格提供程序，只需使用其他身份验证模型即可。通常，每个服务只有一个身份验证模型，就像您获取凭据一样，根据持久存储检查它们，如果有效，则设置安全 token 并且该 token 在有限的时间内用于所有下一次调用。