Рекомендация: проверка подлинности между клиентом Silverlight и сервером .Net

Question

Я работаю над проектом, в котором я запускаю сервер, который в основном является приложением .Net C # с базой данных SQL Server Express, и теперь будет использовать WCF для реализации веб-сервиса, а затем есть клиенты Silverlight, которые различные компании будут использовать для взаимодействияс этим сервером.Как правильно и надежно реализовать аутентификацию пользователей?Я прочитал здесь много постов, которые будут использовать ASP на стороне сервера, но мой сервер не является сервером ASP.Должен ли я реализовать его в любом случае или есть какие-то другие варианты?

Моя наивная мысль была примерно такой:

• Имя пользователя, Пароль и Компания хранятся в качестве учетных данных в БД
• Клиент Silverlight при запуске запрашивает эти учетные данные и отправляет их на сервер для получения подтверждения.
• отныне эти учетные данные находятся в каждом обмене данными между клиентом и сервером, и сервер подтверждает их каждый раз.

Это наивно и небезопасно?

Answer 1

Поскольку вы используете базовый веб-протокол, вы можете рассмотреть возможность использования канала HTTPS и

1) встраивания учетных данных в URL - если вы используете HTTPS, это нормально

2) получение уникального идентификатора от службы при первоначальной проверке учетных данных, а затем требование этого идентификатора во всех будущих вызовах - экономит при просмотре БД, но вы все равно должны оставаться в https - если вы используете http, тоопределение небезопасно