WCFのメソッドレベルのセキュリティ

Question

こんにちは
ユーザーの役割を認証して与えるログインメソッドを持つWCFサービスを作成し、その役割に応じてユーザーが他のサービスメソッドを呼び出すことを許可または拒否します。それを行うための最良の方法はどれですか？これを達成するためのWCFスタンダードメカニズムはありますか？
ありがとう！

Answer 1

基本的にはありません。ログインメソッドからチケットを返すことは安全ではありません。それを編集するアプリケーションを停止し、後続のリクエストごとに偽のバージョンを送信するのは何ですか？はい、あなたはそれに署名することができますが、あなたはかなり大きいものを送ります。

代わりに、毎回ユーザー名とパスワードの組み合わせが必要で、標準の認証と承認ビットとロールベースのCASを使用して、ロールに基づいてチェックして制限する必要があります。

WCFは、メッセージベースのセキュリティを使用するために必要なすべてをすでに提供しており、各要求でユーザー名とパスワードを要求します。これは標準のSOAP機能です。認証プロバイダにプラグインします（既にASP.NETメンバーシップ関数を使用している場合は簡単です）。次にロールをプラグインします（ASP.NETビットを使用している場合は簡単です）。roll your own

ロールあなたは、宣言許可が

[PrincipalPermission(SecurityAction.Demand, Role = "Administrators")] 

保護したい方法に

、あるいは全体のクラスを要求し使用することができます。