asp.net 的webservice，如何对用户授权？

[abwnet]

只有合法登陆系统的用户，才能调用WEBSERVICE，请问如何做到？

[atlasroben]

登录的时候服务器生成一个随机字符串然后交给你的登录用的cookies之类的东西放起来,服务器也将这个东东放到数据库,调用你的webservice必须传入这个钥匙,你的webservice拿到这个钥匙和数据库里面对比,客户注销或者session消失以后将钥匙删除了,就这个思路,可以做的更复杂,整点加密啥的

[fphuang]

查查wse3.0

[greennetboy]

简单的可以考虑SoapHeader
安全性要求高，可以考虑ssl
要求绝对高，考虑wse,用消息模式的安全策略能解决传输模式ssl的中介欺骗问题

[greennetboy]

欢迎大家加入WCF技术研究团队
借用宝地，做一个小宣传，欢迎各位WCF爱好者加入WCF技术研究团队，该团队已经在博客园初具规模，并且积攒了很多WCF相关的宝贵资源和开发高手的大力支持，欢迎加入，共同学习，共同进步

地址：http://wcfs.cnblogs.com/

申请链接：http://www.cnblogs.com/jillzhang/archive/2008/04/17/1158166.html

[yyunffu]

可以在数据库服务器中存储用户信息，每个用户访问接口时进行验证。

[welcom688]

我只想强调一点: 如果你不用https还想实现高度安全性,你必须考虑时间戳

[jietuan]

[Quote=引用 3 楼 greennetboy 的回复:]
简单的可以考虑SoapHeader
安全性要求高，可以考虑ssl
要求绝对高，考虑wse,用消息模式的安全策略能解决传输模式ssl的中介欺骗问题
[/Quote]


我以前都是这样的，在每个method 添加这个属性，如果调用这个method ，必须提供正确的用户名和密码

[挨踢啊挨踢]

一般用soapheader就够了。
1.固定验证，可以用一个固定的用户名密码放到配置文件里来用。
2.动态验证，可以把用户联系到数据库，验证信息和每个用户相关。
要防止数据传输中的偷窥，可以加上传输层的https控制。
考虑https只在两个点之间作用，而又中介时需要重新连接，则可以用wse3.0做数据层的签名，加密。
现在又有了wpf的解决方案。从我的实践来看，wse，wpf对客户端有些要求，应用难度大。

[zhujiechang]

[Quote=引用 8 楼 eastsun_genius 的回复:]
一般用soapheader就够了。
1.固定验证，可以用一个固定的用户名密码放到配置文件里来用。
2.动态验证，可以把用户联系到数据库，验证信息和每个用户相关。
要防止数据传输中的偷窥，可以加上传输层的https控制。
考虑https只在两个点之间作用，而又中介时需要重新连接，则可以用wse3.0做数据层的签名，加密。
现在又有了wpf的解决方案。从我的实践来看，wse，wpf对客户端有些要求，应用难度大。
[/Quote]
确实wse难度应用大，其实还有就是webservice一样支持一般情况的web验证，例如forms,session，
只要对方支持cookie而已。

[gaosh1]

正在学这方面的内容，能说得具体点么？

[gaosh1]

[Quote=引用 1 楼 atlasroben 的回复:]
登录的时候服务器生成一个随机字符串然后交给你的登录用的cookies之类的东西放起来,服务器也将这个东东放到数据库,调用你的webservice必须传入这个钥匙,你的webservice拿到这个钥匙和数据库里面对比,客户注销或者session消失以后将钥匙删除了,就这个思路,可以做的更复杂,整点加密啥的
[/Quote]

能说得具体点么？