аутентификация с использованием UserNamePasswordValidator в WsHttpBinding с использованием безопасности сообщений безопасна?

Question

В основном у меня есть веб-приложение и службы Wcf с валидатором usernamepassword, использующим WSHttpBinding с использованием защиты сообщений. После проверки клиента службы я сохраняю клиента в сеансе для доступа ко всем другим веб-методам в стороне службы.

Является ли этот подход правильным? или я должен использовать сервис токенов безопасности?

Пожалуйста, сообщите мне.

Спасибо

Answer 1

Это жизнеспособный подход, который мы широко используем, но вы должны быть очень осторожны при его использовании.

Мы всегда шифруем наши пароли в клиентском приложении и расшифровываем в службе WCF или, еще лучше, сравниваем с ранее зашифрованным паролем пользователя, если мы контролируем хранилище паролей, даже если связь осуществляется через HTTPS.