保护wcf服务的模式和良好实践

Question

我正在构建一个需要保护的wcf服务，作为客户与服务交换的信息对公司敏感。我打算把它托管在iis6上。确保除客户端应用程序之外的任何人都可以调用服务来获取/设置数据的最佳做法是什么？

服务呼叫需要在用户的真实身份下进行，因为所有呼叫都必须受到监控和审核。我打算使用PolicyInjection进行审计调用。

Answer 1

一切都取决于。

但基本上有两种主要方法：

• 使用带有basicHttpBinding的SSL传输安全性
• 使用wsHttpBinding的SSL安全性

如果您提供更多信息，我应该能够为您提供更多帮助。

安全性有某些方面：

1）数据完整性：没有人篡改数据，但数据本身并不是秘密。这是通过签署来实现的。

2）数据安全性：这样就没有人能够看到敏感/秘密信息。这是加密。

3）身份验证：这是通过发送用户名/密码或使用证书。这样可以确保该人与声称的人相同。

4）授权：这是为了确保此人可以访问服务中的特定功能。