什麼是保護WCF服務的最佳方式？

Question

什麼是保護WCF服務的最佳方式？我應該向服務調用添加一個頭並在客戶端上有一個驗證頭的消息檢查器？

我需要確保該人提供正確的用戶名和密碼才能使用該服務，並且所有內容都已加密。它通過互聯網並將使用HTTP綁定。

Answer 1

如果您僅限於HTTP，那麼它將會帶來性能上的提升，但更具可移植性。
但我認爲你可以使用WS-Security加密和保護HTTP。

傳輸和郵件安全模式

兩個主要機制來實現WCF傳輸安全：
傳輸安全模式和消息安全模式。

傳輸安全模式使用傳輸級協議（如HTTPS）來實現傳輸安全性。傳輸模式具有被廣泛採用的優點，可用於多種平臺，計算複雜度較低。但是，它具有僅從點對點保護消息的缺點。

另一方面，消息安全模式使用WS-Security（和其他規範）來實現傳輸安全性。由於消息安全性直接應用於SOAP消息，並且包含在SOAP信封中，並與應用程序數據一起使用，因此它具有獨立於傳輸協議，更具可擴展性以及確保端到端安全性（相對於點-to-點）;它具有比傳輸安全模式慢數倍的缺點，因爲它必須處理SOAP消息的XML特性。

Selecting a Credential Type

How to: Authenticate with a User Name and Password

Answer 2

這取決於你的意思是「安全」。您可以從SSL（https）開始，如果要驗證客戶端，則可以使用身份驗證技術。你真的需要詳細說明你的目標...

Answer 3

你應該看看this MSDN article，其中總結了選項。

就像一個典型的Web應用程序，你有多種方法來確保網站：

1. 傳輸安全（SSL）
2. 信息安全（信息安全頭）
3. 交通運輸與消息憑據（組合）

答案取決於您需要爲您的應用程序使用何種安全級別。在很多情況下，運輸安全可能就足夠了。