在WCF中使用Windows身份验证类型时,是否以纯文本格式发送用户名和密码？

Question

如果我有以下绑定:

<bindings>
  <wsHttpBinding>
    <binding name="Binding">
      <security mode="Transport">
        <message clientCredentialType="Windows"/>
      </security>
    </binding>
  </wsHttpBinding>
</bindings>

用户名和密码是否可以通过网络以纯文本形式发送？

编辑

我知道默认情况下wcf会加密连接.我问这个问题的原因是因为:

我从http://msdn.microsoft.com/en-us/library/aa354513.aspx那里得到了

所以我的问题是我知道默认情况下连接是加密的.但是,我是否需要ssl证书才能防止用户看到用户名和密码.我知道,一旦我通过身份验证,邮件就会被加密.但是密码和用户名也加密了吗？

Answer 1

这里的其他答案具有误导性和不正确性,尽管他们可能会通过提及运输安全性向您保证.正确的答案是Windows身份验证不会以纯文本格式发送密码.

当客户端向服务器保证用户是他们所声称的用户时,Windows身份验证就有效.没有密码通过电线传输.

如果您使用基本身份验证,则密码将通过网络传输; 如果使用任何https传输,则连接被加密,但在该连接中,消息的内容未加密.

请参阅WCF wsHttpBinding的Windows身份验证的安全性如何？一个类似的问题.

有关WCF传输安全性的更多信息,请参阅MSDN消息和传输安全性.