保护Web服务的方法有效吗？

Question

目前，我正在考虑保护我们的Web服务。 目前，我们不使用WCF，因此这不是一个选择。 我在本地很容易看到并实现的一种方法是本文中描述的方法：

http://www.codeproject.com/KB/aspnet/wsFormsAuthentication.aspx

它描述了添加一个HttpModule，如果用户浏览到服务文件夹中包含的任何页面（Web服务），则提示用户输入凭据。 有没有人看到这种安全性可能会下降并可以被绕开的任何方式。我真的只是在尝试确定这是否是一种有效的方法？

谢谢

Answer 1

让人们浏览页面以使用Web服务似乎有点笨拙，这通常是通过编程完成的。

您可以简单地将您的Web服务隐藏在formauthentication后面，并具有一个设置表单票证的身份验证端点。

然后，服务客户端将仅挂在CookieContainer上，并将其用于后续请求。

无论您做什么，都必须确保通过SSL进行身份验证的任何管道都受到安全保护。