Безопасность WCF / jQuery

Question

У меня есть набор служб WCF с включенной совместимостью AspNetCompatibility и я использую их из jQuery. Мое веб-приложение требует аутентификации. Использование здесь только логики (поскольку мне не хватает знаний) означает ли это, что WCF будет доступен и ограничен только зарегистрированными пользователями? Я знаю, что можно поймать коммуникационные данные и попытаться использовать их позже (у меня нет ssl), но для этого он должен войти в систему.

Верно, неправильно или просто глупо в моем собственном оптимизме?

Answer 1

Да, поскольку у вас включена совместимость с ASP.NET и вы используете безопасность ASP.NET, при условии, что у вас есть правильный параметр <authorization> для ресурса WCF, он должен быть защищен безопасностью ASP.NET.Как минимум, это означает, что вы должны иметь авторизацию, определенную следующим образом для ресурса WCF:

<authorization>
    <deny users="?" /> <!-- deny all anonymous users -->
    <allow users="*" /> <!-- allow all authenticated users -->
</authorization>

Только если вы разрешите "*", ваша служба WCF будет недоступна для неаутентифицированных пользователей.

Подробнее об этом можно прочитать здесь, в этой статье MSDN в разделе, озаглавленном Размещение служб WCF в режиме совместимости с ASP.NET .