c# - WCF 的 Windows 身份验证是否足够？

Question

我正在开发一个应用程序，其中对数据传输和访问的安全要求相当高。据我了解，Windows 身份验证是通过 Intranet 进行 TCP 的首选方法。

您如何处理不使用域且只有简单工作组可用的情况？（一些客户不会使用域来管理网络）。

是否足够使用交互式客户端详细信息（当前登录用户），或者我应该让他们单独重新输入他们的用户名和/或密码，否则我不是将安全性留给网络管理员以确保他们有适当的策略（即计算机在一段时间后被锁定）？这一点尤其重要，因为我知道有些用户很容易让他们的计算机保持登录状态，那么我如何确保帐户所有者是实际用户？

如果是这样，如果他们只是重新输入他们的身份验证详细信息，那么使用 Windows 身份验证而不是用户名/密码身份验证有什么意义？

谢谢

Answer 1

使用 Windows 身份验证的目的是为网络对象管理提供一个集中目录。如果你有工作组，我说你最好使用另一种技术，也许是会员提供者和角色提供者。

这篇文章讨论了做这样的事情的缺点。

Answer 2

使用 Windows 身份验证的目的是利用预先存在的成员资格方案。在企业级开发中，这意味着管理员拥有他们习惯使用的集中式成员控制面板来管理域级安全性。用户的额外好处是一次登录计算机就可以访问多个应用程序，而无需重新输入他们的详细信息。

如果您还没有建立域级别的安全性，并且没有朝那个方向迁移的计划，那么成员资格提供程序选项将是 aspnet 中的更好选择。显然，您随后需要计划企业将如何处理多个登录和身份验证提供程序的维护。

[编辑] 啊……伊戈尔先到了那里。