传递到Web服务（.asmx）时的WCF安全性

Question

场景是我们有一个WCF服务，该服务使用了我们构建的内部Web服务中的方法。

WCF服务非常轻巧。

我们希望保护此WCF服务的安全性，以便仅某些客户端可以使用它（该服务当前位于面向公众的服务器上）。

我们无法在此面向公众的服务器上安装证书，因此我们想知道使用哪种最佳securiyt模型。

理想情况下，以某种方式可以考虑配置它，以便客户端使用证书，而WCF服务只是简单地“传递”到内部Web服务，因为它位于我们控制的服务器上，然后发生证书身份验证。

这可能吗..？ 如果没有，我们可以使用其他任何安全选项。

提前致谢。

Answer 1

解决方法是使用消息头并在其中检查客户端的凭据。 也就是说，您可以传递用户名并在消息头中输入pwd，如果处理得当，请在wcf服务上检查它，否则将其丢弃。

Answer 2

我认为您必须详细说明自己的自定义安全模型。

要解决的主要问题是如何在您和客户端之间共享“秘密密钥”。 您无法安装证书，因此必须将密钥存储在其他位置，例如，在...内的web.config，然后以安全的方式将其分发给客户端。

您可以使用此密钥对消息进行签名或加密。 您还可以使用对密码进行加密的标准架构。

还检查您是否可以使用某些WS-Security功能！！！

此外，还要检查.Net Framework提供的绑定身份验证和保护架构。