最佳实践：Silverlight 客户端和 a.Net 服务器之间的身份验证答案

【问题标题】：Best Practice: Authentication between Silverlight Client and a.Net Server最佳实践：Silverlight 客户端和 a.Net 服务器之间的身份验证
【发布时间】：2010-08-02 14:46:27
【问题描述】：

我正在开展一个项目，我运行的服务器基本上是一个带有 SQL Server Express DB 的 .Net C# 应用程序，现在将使用 WCF 实现 Web 服务，然后有不同公司将使用的 Silverlight 客户端进行交互与此服务器。如何以良好且可靠的方式实施用户身份验证？我在这里阅读了很多将在服务器端使用 ASP 的帖子，但我的服务器不是 ASP 服务器。还是应该实施还是有其他选择？

我的幼稚想法是这样的：

用户名、密码和公司作为凭证存储在数据库中
Silverlight 客户端在启动时询问这些凭据并将它们发送到服务器以获得确认。
从现在开始，这些凭据将出现在客户端和服务器之间的每次通信中，并且服务器每次都会确认它们。

这是幼稚和不安全的吗？

【问题讨论】：

标签： c# silverlight authentication

【解决方案1】：

由于您使用的是基本网络协议，您可以考虑使用 HTTPS 通道和

1) 在 URL 中嵌入凭据 - 只要您使用 HTTPS，就可以了

2) 在初始验证凭据时从服务中获取唯一标识符，然后在以后的所有调用中都需要此标识符 - 节省数据库查找，但您仍应留在 https - 如果您使用 http，那么它是根据定义不安全

【讨论】：