servicio web asmx: autenticación de cliente

Question

Tengo un servicio web con varios métodos que me gustaría asegurar. Los datos no son del todo confidenciales, pero me gustaría restringir el acceso solo a aquellos que usan una determinada identificación de usuario y contraseña que está almacenada en el archivo web.config de servicios web. Un cliente del servicio de Windows C llamará a este servicio web una vez al día o a la semana.

¿Alguien puede publicar un ejemplo simple de cómo puedo hacer esto? Gracias por adelantado.

Answer 1

Hay tres enfoques generales para la seguridad SOAP de Ad hoc:

1. La primera es pasar la información de autenticación con cada llamada.
2. El segundo es pasarlo una vez para recibir una ID de sesión que luego se pasa con cada llamada.
3. El tercero es esencialmente el mismo que el segundo, solo usa cookies.

De los tres, recomiendo el primer método, que no requiere el servidor para mantener el estado, pero puede ser tan rápido debido al almacenamiento en caché.

Answer 2

Esto es bastante similar a mi pregunta: "What should we implement to authorize clients to use our web service?"

Al final no publicar el WSDL y sólo sirviendo el servicio a través de https y que requieren basic authentication. NO use autenticación básica si no puede obligar a todos los clientes a usar https.

Si se trata de un servicio web .net, aquí está la entrada del archivo de configuración para evitar que se publique el wsdl.

<system.web> 
    <webServices> 
     <protocols> 
     <remove name="Documentation" /> 
     </protocols> 
    </webServices> 
    </system.web> 

Cuando Ir a la página, recibirá un mensaje de error similar al mensaje se obtendría si se trató de tirar de forma manual por un web.config de un sitio. Como Steven señala, esto es seguridad a través de la oscuridad y NO debe usarse solo para proteger su servicio web. Sin embargo, cuando se usa además de auth + https básico, es un pequeño extra.

Clientes Código lateral:

Para acceder a este servicio web de un cliente, añada su web de referencia de la forma habitual y en el código de llamada (asumiendo que su web de referencia se denomina webref).

WebRef.Url = "url"; 
WebRef.Credentials = new System.Net.NetworkCredential("userid", "password"); 

Además, es posible que desee consultar WebRef.PreAuthenticate para guardar algunos viajes redondos. Solo ten en cuenta que te divertirás probando eso si estás detrás de un proxy corporativo. Los proxies se utilizan a través de WebRef por

WebRef.Proxy = new WebProxy("url"); 
WebRef.Proxy.Credentials = new System.Net.NetworkCredential("userid", "password");