Web Services 身份验证

2009-01-01 21:34来源：http://dever.cnblogs.com/archive/2005/01/10/89602.aspx


问题提出：为了构建一个安全的web服务，需要对调用方进行身份验证，只让通过审核的用户调用web服务。

软件件环境：Web服务程序部署在分布于各地的工厂服务器，这些服务器位于内网之中，没有固定外网IP，且不能通过外网进行访问。调用这些Web服务的是一台连接至internet的WEB服务器，该WEB服务器通过VPN与各个工厂的服务器相连。

解决方案一：通过SOAP Header传递用户名和密码。

1. 首先需要在服务中定义一个从 SOAPHeader 派生的类,表示传入 SOAP 标头的数据。

public class CredentialSoapHeader : System.Web.Services.Protocols.SoapHeader
{
private string _UserID=string.Empty;
      private string _PassWord=string.Empty;

      public string UserID
      {
            get{return _UserID;}
            set{_UserID=value;}
      }
      public string PassWord
      {
            get{return _PassWord;}
            set{_PassWord=value;}
      }

      public void Initial(string nUserID,string nPassWord)
      {
            UserID=nUserID;
            PassWord=nPassWord;
      }

      public bool IsValid(string nUserID,string nPassWord,out string nMsg)
      {
             nMsg="";
             try
             {
                   //判断用户名密码是否正确
                   if(nUserID == "admin" && nPassWord == "admin")
                         return true;
                   else
                   {
                          nMsg="对不起，你无权调用此Web服务，可能有如下原因：\n“ +

                                    " 1.您的帐号被管理员禁用。\n" + " 2.您的帐号密码不正确";
                          return false;
                   }
            }
           catch
           {
                 nMsg="对不起，你无权调用此Web服务，可能有如下原因：\n“ +

                                    " 1.您的帐号被管理员禁用。\n" + " 2.您的帐号密码不正确";
                 return false;
            }
   }

   /// <summary>
   /// 用户名密码是否正确
   /// </summary>
   /// <returns>用户名密码是否正确</returns>

   public bool IsValid(out string nMsg)
   {
         return IsValid(_UserID,_PassWord,out nMsg);
   }
}

2. 在Web Services使用 SoapHeader 自定义属性定义一组关联的标头,服务中的每个 WebMethod 都可以使用.(默认情况下，标头是必需的，但也可以定义可选标头)

Test.asmx代码片段：

public CredentialSoapHeader myHeader=new CredentialSoapHeader();

// WEB 服务示例
[SoapHeader("myHeader")]
[WebMethod(Description="加入了身份验证的web服务",EnableSession=true)]
public string HelloWorld (string contents)
{
       string msg = "";
       //验证是否有权访问
   if(!myHeader.IsValid(out msg))
    return msg;
   return "Hello World:"+contents;
}

3. 最后客户端在调用要求标头的方法之前，需直接在代理类上设置标头。
以下是winform客户段代码片段：
SoapTest.Test test1 = new SoapHeader.SoapTest.Test();

//创建soap头对象
SoapTest.CredentialSoapHeader header = new SoapHeader.SoapTest.CredentialSoapHeader();

//设置soap头变量
header.PassWord = "admin";
header.UserID = "admin1";
test1.CredentialSoapHeaderValue = header;

//调用web 方法
this.label1.Text = test1.HelloWorld ("wang");

通过以上步骤就可以完成Web Services自定义身份验证了.

该方案的优点是代码灵活，便于移植，缺点是传递的信息没有加密，可配合SSL进行使用。

解决方案二：通过集成windows身份验证。
1. 将web服务程序设为集成windows身份验证



2.客户端web引用代码
Test.WebReference.Service1 wr = new Test.WebReference.Service1(); //生成web service实例
wr.Credentials = new NetworkCredential("guest","123"); //guest是用户名，该用户需要有一定的权限
lblTest.Text = wr.Add(2,2).ToString(); //调用web service方法
该方案的优点是比较安全，性能较好，缺点是不便于移植，部署工作量大。

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－

P.S. 下面的资料也很有帮助：


Authentication for Web Services (using SOAP headers)