Web服務認證

Question

我正在使用Web服務+ AJAX界面，並且擔心身份驗證。 此刻，我要將用戶名和密碼作為參數傳遞給Web服務，但是我擔心這種方法非常不安全。 有人告訴我ssl可以解決我的問題，但是我想要更多的選擇。

我的網絡服務是用php編寫的，我的界面是用php + AJAX編寫的。 Web服務從POST或GET接收參數，並檢索xml（將來可能會使用JSON）

Answer 1

您可以依靠多種標准來保障Web服務的安全，例如ws-trust，ws-security，ws-federation等。

您也可以在包含安全信息的soap標頭上簽名。

以下博客詳細介紹了使用php進行Web服務的各種身份驗證機制。 http://phpwebservices.blogspot.com/

Answer 2

AJAX請求與普通請求沒有什么不同。

由於您具有AJAX界面，所以我想您可以擁有一個用戶登錄頁面。 當他們登錄時，將cookie存儲在瀏覽器中。 然后，該Cookie可以隨每個AJAX請求一起發送回去。

您的PHP腳本可以使用cookie來“認證” AJAX請求，就像使用普通請求一樣。

Answer 3

如果我理解這個問題，那么您有1）AJAX發布到PHP，2）PHP調用了Web服務。 對於步驟1，您應該具有SSL證書。對於步驟2，Web Service機器上的SSL證書也將是安全的。 一種替代方法是在Web服務器和Web服務的服務器之間建立安全的VPN。

Answer 4

帶有用戶憑據的SSL盡可能安全。 您必須定義您的安全性關注點。 用戶的數據包會被嗅探嗎？ 這就是SSL的目的。 未經授權的用戶可以訪問嗎？ 那將取決於密碼的安全性。

您可以做的一件事是建立一個租賃系統，在該系統中，您派發一個唯一的加密ID，該ID必須在郵局中傳遞，並且在交易后或短時間內失效。 可以將此租賃代碼檢索到頁面中的隱藏div中（以避免上面的沙箱問題），然后將其插入每個后續的Ajax請求中。