WCF webhttp authentification

Question

Je travaille avec les services WCF Webhttp. J'ai créé un groupe de services et tout ce qui reste est de mettre en Authentif./Suivi ...

Questions

• harmonie avec le style d'architecture de repos, devrais-je authentifier chaque appel de service contre l'utilisateur db. Si oui, je devrais faire l'authentification en fournissant les informations d'identification et mot de passe chaque fois que le service est appelé et le sécuriser avec SSL. En gros, chaque fonction WebGet / WebInvoke doit contenir les informations d'identification utilisateur en tant que paramètres et j'authentifier chaque appel. Est-ce correct? Cela semble plutôt inefficace.

• En utilisant la clé de session semble en quelque sorte de mal, mais tous les pointeurs quant à la façon d'utiliser la session dans WCF Webhttp?

• Je ne travaille pas avec l'adhésion de ASP (se penchera sur bientôt) depuis que je travaillais avec Mysql et ai ma propre base de données d'enregistrement / utilisateur créé. Dois-je regarderais ça? Puis-je utiliser un service d'authentification WCF ainsi que des services WCF de webhttp?

Toute la documentation sur l'authentification dans le traitement des services WCF de webhttp serait grandement utile.

Merci beaucoup

Answer 1

Vous pouvez consulter le chapitre 8 de RESTful .NET livre ( Amazon , Google books )

Vous authentifiera que le premier appel de l'utilisateur, les appels ultérieurs utiliseront le contexte de l'utilisateur authentifié. Il y a plusieurs options que vous pouvez utiliser SSL (TLS), comme toujours ou tout simplement lorsque vous envoyez nom d'utilisateur / mot de passe.

Je ne sais pas où exactement et comment vous stockez le jeton d'authentification (comme en session ou similaire).

Vous ne devez utiliser fournisseur d'appartenances ASP.NET, en fait, vous ne pouvez pas utiliser un fournisseur de membre du tout, il suffit d'utiliser d'autres modèles d'authentification. En général, il n'y aura qu'un seul modèle d'authentification par service, comme vous obtenez les informations d'identification, les vérifier contre le stockage persistant, si elle est valide, vous définissez la sécurité jeton et ce jeton est utilisé pour tous les prochains appels à une quantité limitée de temps.