仅在 WCF Web 服务中需要某些方法的凭据

Question

我有一个具有不同方法的 UserAccountService，其中一些需要对用户进行身份验证（例如 ChangePassword、ChangeUserData），而另一些则不需要（RegisterUser）。

但是，我似乎无法使其正常工作，因此只有某些方法需要身份验证。

需要身份验证的方法装饰有

[PrincipalPermission(SecurityAction.Demand, Authenticated = true)]

在我的 app.config 中，我指定了一个绑定，它使用加密并请求用户名凭据：

    <binding name="authenticatedBinding">
      <security mode="TransportWithMessageCredential">
        <message clientCredentialType="UserName" />
      </security>
    </binding>

（我使用的是 basicHttpBinding）

我还配置了一个自定义身份验证提供程序：

      <serviceCredentials>
        <userNameAuthentication userNamePasswordValidationMode="Custom" customUserNamePasswordValidatorType="..." />
      </serviceCredentials>

使用此配置，我似乎无法在未经身份验证的情况下调用服务上的任何方法。

如果我省略了安全配置，那么我可以调用不需要身份验证的方法，但不再传输消息凭据。

我如何配置我的服务，以便它允许调用所有方法，并且只需要在 PrincipalPermission 要求时设置用户名/密码？

我使用 Silverlight 作为我的客户，如果这很重要的话......

谢谢！

Answer 1

安全设置可以在端点级别进行细粒度设置，但不能在合同内进行细粒度设置 - 因此您无法以您想要的方式组合安全和不安全的方法。我会建议

1. 您将服务合同（界面）分为两部分 - 一部分用于不安全的方法。其次，它将继承自不安全的部分，并将包含需要保护的操作。
2. 您的服务实现不需要更改（因为它应该实现安全接口） - 您所需要做的就是将此实现公开为两个不同端点上的两个不同的合约（安全合约和不安全合约）。您需要使用安全合同以及所需的任何安全配置来锁定端点。
3. 不幸的是，从客户端的角度来看，您必须在身份验证边界处切换端点/URL，即在用户通过身份验证之前，您可以使用不安全的端点，但是一旦经过身份验证，客户端就可以使用任何端点。