3

Нужно создать простой WebService с поддержкой системы аутентификации пользователей. Выглядит сервис след. образом:

Допустим в нашей базе есть зарегестрированные пользователи. Есть функция логирования пользователей(ее параметры login, password). Если все отлично, то возвращает sessionID(ssid), иначе такого пользователя в нашей базе нет.

В классе WebService есть несколько функции, кот. должны работать только если пользователь вошел в систему.

Проблема моего вопроса закл. в том, что эти функции должны работать не только когда ssid сущ., но и что это тот самый пользователь, а никаок др. Нужно ли создавать параметр для каждой функции(например tmp_ssid) и сравнить его с ssid, если совпадает(те мы убедились что это наш пользователь) то выполняем функцию.

Как это реализовать, и вообще нужен ли параметр для проверки безопастности ?

1 ответ 1

2

Если у вас stateless сервис, то после авторизации выдавайте пользователю authToken (например, guid какой-нибудь). Соответственно, этот authToken должен быть как-то связан с вашим пользователем. Например простенько в БД два поля authToken | userId. Советую периодически обновлять этот токен

//    wcf service contract
[OperationContract]
string Authorize(string username, string password);
...

//service contract implementation
string Authorize(string username, string password)
{
    if(!Validate(username, password)
       throw new Exception("Invalid username or password");

    var userId = GetUserId(username);

    string token = Guid.New().ToString("N");
    DataBase.AuthUsers.Add(new AuthUser(userId, token);

    return token;    
}

void SomeOperatin(string authToken)
{
   if(DataBase.AuthUsers.All(x => x.AuthToken != authToken)
       throw new Exception("Access is denied");
...
}
4
  • А можно поподробнее ? Вообще может быть так, что сессия есть, но это не тот пользователь ?
    – jhendrix
    Commented 19 мая 2014 в 16:26
  • @jhendrix, не думаю, что пользователь может быть не тем. Если правильно с аутентификацией/авторизацией всё, то проблем не должно возникнуть. Рекомендую этот курс: pluralsight.com/training/Courses/TableOfContents/iac-wcf Подробнее про токен сейчас добавлю в пост
    – Veikedo
    Commented 19 мая 2014 в 16:36
  • @Veikedo, wfc framework я не использую, у меня всё просто: есть класс с функциями(перед каждой атрибут WebMethod). По WebService я новичок, мне просто нужно чтоб функции работали только когда пользователь залогинился. Дальше потом нужно понять какие именно ему функции можно использовать(тут идет привилегия). Если есть хоть какие-нибудь идеи пиши пжл.
    – jhendrix
    Commented 19 мая 2014 в 16:56
  • @Veikedo, я WFC Framework не использую на данный момент, мне просто нужно сделать это на простом уровне с сессиями и по возможности если будут идеи насчет того как нужно спрограммировать привилегии приветствуется.
    – jhendrix
    Commented 19 мая 2014 в 18:53

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.