Безопасность сеансов и ASP.NET Ajax

Question

Я начинаю использовать ASP.NET Ajax. Следуя рекомендациям Эрика Паскарелло , я всегда действую в предположении, что со стороны клиента может прийти что угодно (включая поддельные запросы).

Один вопрос, который мне приходится учитывать, - это аутентификация пользователя. Поскольку мы используем встроенный механизм управления состоянием сеанса .NET, я немного не знаю, какие угрозы безопасности существуют с веб-сервисами.

Что мне нужно сделать, чтобы быть уверенным в том, что пользователь является тем, кем, по его словам, он является (с достаточной достаточной вероятностью)? Использует

[WebMethod(EnableSession = true)]

достаточно?

Спасибо

Answer 1

Так вы убедитесь, что объект Session доступен в вашем методе. Если вы хотите убедиться, что они аутентифицированы, настройте их в своем файле web.config

<location path="MyService.asmx">
    <system.web>
      <authorization>
        <deny users="?" />
      </authorization>
    </system.web>
  </location>