Web 服务用户身份验证 - 在客户端存储密码

Question

我正在开发一个需要一些基本身份验证的肥皂网络服务。

所以我们的想法是只要求所有 web 服务方法都包含用户名和密码参数，然后验证这些值是否存在于我们的用户数据库中：

public String[][] someWebserviceMethod(String username, String password) throws FailedLoginException {

    // Verify that user with username and password exists

    //do database stuff and return data
}

这确实会在客户端引发问题。在用户最初登录到应用程序后，我们需要将用户名和密码以纯文本形式存储在内存中。这可以接受吗？如果不是，首选的方法是什么？

另外，我的网络服务将托管在 https 上。这是否确保客户端发送soap请求时密码被安全加密？

编辑：sessionID 会起作用吗？我从来没有在没有框架或网络服务器的情况下实现过它。也许是这样的：

1. 客户端发送用户名和密码。
2. 如果客户端有效，服务器返回随机字符串（sessionId）。
3. 服务器在数据库中存储 sessionID 和时间戳
4. 客户端将 sessionID 存储在内存中，不存储密码
5. 客户端使用用户名和 sessionID 请求 Web 方法
6. 如果存在用户名和 sessionID 的用户，并且时间戳在超时期限内，则授予访问权限并更新时间戳。否则强制重新登录。

Answer 1

是 HTTPS - S 代表安全，它会加密所有通信。但是你总是可以使用其他一些加密方法，如 MD5、SHA-1 和更常见的。如果您这样做是为了进行一些基本培训，可以将数据存储在纯文本 /json 中而无需任何加密，否则请查看这些哈希函数：

• https://en.wikipedia.org/wiki/SHA-1
• https://en.wikipedia.org/wiki/MD5