针对 WCF 服务对移动应用程序进行身份验证？答案

【问题标题】：Authenticating a mobile app against a WCF service?针对 WCF 服务对移动应用程序进行身份验证？
【发布时间】：2010-06-04 11:58:38
【问题描述】：

我们正在与一家供应商合作开发一款移动应用，并计划使用 WCF 服务来处理操作。我可以对 WCF 服务使用哪些类型的身份验证？我们会通过 SOAP 标头发送用户名和密码吗？我们怎样才能安全地做到这一点？

此外，这将使用 Membership 类针对我们的 .NET 成员数据库进行身份验证。想法？谢谢。

【问题讨论】：

您要验证用户还是设备？如果是设备，您可以研究基于证书的身份验证，这种身份验证不太容易在非受控环境中部署，但对最终用户来说非常安全和容易。否则，您将需要从用户本人那里获取一些身份验证数据（例如密码）。

【解决方案1】：

移动设备运行的是什么操作系统？在我看来，如果移动应用程序是使用框架（例如 .NET 紧凑框架）编写的来进行身份验证的，那么移动设备可以使用 Windows 身份验证，就像使用 Web 应用程序一样。设置连接以使用 SSL，您就可以了。

另一种方法是编写类似于 Windows 身份验证的质询/响应系统 - 但这似乎有点过头了，除非移动应用程序运行在不支持 Windows 身份验证的操作系统上。

如果您完全熟悉 ASP.NET MembershipProvider/RoleProvider/MembershipUser 模型，那么一旦克服了它们的模型所带来的限制，它就会相当容易使用。

【讨论】：

移动设备可以是 iphone 或 droid。我们的技术主管发现了一个内置的 WCF 服务，该服务将处理 SOAP 身份验证 (System.Web.ApplicationServices.AuthenticationService)，我们将对此进行进一步研究。目前我对此知之甚少，但想看看一般情况下，通用客户端如何针对 WCF 服务和内置的成员资格模型进行身份验证。