如何保护从Windows服务托管的WCF Web服务的安全？

Question

我有一个关于WCF Web服务安全性的问题。当前，我们正在开发一个Android移动项目，并使用wcf Web服务进行数据传输和操作。 我们使用basicHttpBinding并将Web服务托管为Window Service 。

目前，我们没有任何安全模式，如果每个人都知道服务地址，恐怕他们都可以使用我们的Web服务。 例如，我们有一个服务方法，它将返回字符串值。 目前，我可以将该服务添加到其他Visual Studio项目和移动项目中，我们可以随时使用。

//WCF Service Method
public string DoWork()
{
      return "This is return string!";
}

    //We can consume it like below from other dot net project by adding service reference.
   //Actually, those are not real client.
    ServiceReference1.WebServiceClient serv = new TestingPrj.ServiceReference1.WebServiceClient();
    string result = serv.DoWork();

我的问题是如何为真实客户保护我的Web服务？ 我不希望其他项目和人员使用我们的Web服务。

Answer 1

最简单的方法是通过SSL使用基本身份验证。 基本身份验证要求客户端具有用户名/密码对，只有您的应用程序才能知道。 如果身份验证纯粹是为了了解您的客户端是否正确（而不是知道正在连接的用户），那么您可以使用一个硬编码的用户名/密码。

还应使用SSL，以使凭据不会以纯文本格式传输，并且有可能被嗅探。

Answer 2

使用ssl证书是最安全的方法。