3

Нужно создать простой WebService с поддержкой системы аутентификации пользователей. Выглядит сервис след. образом:

Допустим в нашей базе есть зарегестрированные пользователи. Есть функция логирования пользователей(ее параметры login, password). Если все отлично, то возвращает sessionID(ssid), иначе такого пользователя в нашей базе нет.

В классе WebService есть несколько функции, кот. должны работать только если пользователь вошел в систему.

Проблема моего вопроса закл. в том, что эти функции должны работать не только когда ssid сущ., но и что это тот самый пользователь, а никаок др. Нужно ли создавать параметр для каждой функции(например tmp_ssid) и сравнить его с ssid, если совпадает(те мы убедились что это наш пользователь) то выполняем функцию.

Как это реализовать, и вообще нужен ли параметр для проверки безопастности ?

1 ответ 1

2

Если у вас stateless сервис, то после авторизации выдавайте пользователю authToken (например, guid какой-нибудь). Соответственно, этот authToken должен быть как-то связан с вашим пользователем. Например простенько в БД два поля authToken | userId. Советую периодически обновлять этот токен

//    wcf service contract
[OperationContract]
string Authorize(string username, string password);
...

//service contract implementation
string Authorize(string username, string password)
{
    if(!Validate(username, password)
       throw new Exception("Invalid username or password");

    var userId = GetUserId(username);

    string token = Guid.New().ToString("N");
    DataBase.AuthUsers.Add(new AuthUser(userId, token);

    return token;    
}

void SomeOperatin(string authToken)
{
   if(DataBase.AuthUsers.All(x => x.AuthToken != authToken)
       throw new Exception("Access is denied");
...
}
4
  • А можно поподробнее ? Вообще может быть так, что сессия есть, но это не тот пользователь ?
    – jhendrix
    19 мая 2014 в 16:26
  • @jhendrix, не думаю, что пользователь может быть не тем. Если правильно с аутентификацией/авторизацией всё, то проблем не должно возникнуть. Рекомендую этот курс: pluralsight.com/training/Courses/TableOfContents/iac-wcf Подробнее про токен сейчас добавлю в пост
    – Veikedo
    19 мая 2014 в 16:36
  • @Veikedo, wfc framework я не использую, у меня всё просто: есть класс с функциями(перед каждой атрибут WebMethod). По WebService я новичок, мне просто нужно чтоб функции работали только когда пользователь залогинился. Дальше потом нужно понять какие именно ему функции можно использовать(тут идет привилегия). Если есть хоть какие-нибудь идеи пиши пжл.
    – jhendrix
    19 мая 2014 в 16:56
  • @Veikedo, я WFC Framework не использую на данный момент, мне просто нужно сделать это на простом уровне с сессиями и по возможности если будут идеи насчет того как нужно спрограммировать привилегии приветствуется.
    – jhendrix
    19 мая 2014 в 18:53

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.