保護Web服務的方法有效嗎？

Question

目前，我正在考慮保護我們的Web服務。 目前，我們不使用WCF，因此這不是一個選擇。 我在本地很容易看到並實現的一種方法是本文中描述的方法：

http://www.codeproject.com/KB/aspnet/wsFormsAuthentication.aspx

它描述了添加一個HttpModule，如果用戶瀏覽到服務文件夾中包含的任何頁面（Web服務），則提示用戶輸入憑據。 有沒有人看到這種安全性可能會下降並可以被繞開的任何方式。我真的只是在嘗試確定這是否是一種有效的方法？

謝謝

Answer 1

讓人們瀏覽頁面以使用Web服務似乎有點笨拙，這通常是通過編程完成的。

您可以簡單地將您的Web服務隱藏在formauthentication后面，並具有一個設置表單票證的身份驗證端點。

然后，服務客戶端將僅掛在CookieContainer上，並將其用於后續請求。

無論您做什么，都必須確保通過SSL進行身份驗證的任何管道都受到安全保護。