在Web服務中使用哪種協議進行身份驗證？

Question

我應該使用什麼協議來保護web服務。我正在考慮CHAP，但我無法在網絡服務方面找到很多關於它的內容。 SubAuth和OAuth更關心的是將Web服務訪問權限賦予其他內容，所以這不是我所期待的。 我需要驗證用戶而不通過線路發送憑證。

我已經閱讀了一些與安全相關的問題，發現了一些關於挑戰響應身份驗證和三通協議的內容，但沒有任何內容與Web服務直接相關。

任何人都有這方面的經驗？

幫助高度讚賞。

Answer 1

OAuth可以在解決直接訪問方案（也稱爲雙腿方案）方面做得同樣出色。所以這是我們的協議。

Answer 2

Web服務？然後，也許，HTTPS（使用SSL客戶端證書或HTTP驗證）或HTTP摘要驗證？

這取決於安全模型 - 你想提供服務的人（公共？公司網絡？一些本地站點的東西？），你想要保護什麼？你想犧牲多少性能和可用性？ （重載SSL幾乎肯定會吃掉很多CPU時間）等等。

Answer 3

如果您找不到CHAP與Web服務相關的任何內容，那麼機會就沒有關係。

通常，要麼使用SSL（HTTPS），要麼使用WS-Security。但是，如果安全性實際上很重要，則通常首先了解Web服務中的安全性。