关闭

编写一个使用WS-Security的WebMethod

1147人阅读 评论(0) 收藏 举报

现在我们需要创建一个使用WS-Security的WebMethod。 这里,我实现了一个简单的方法,它运行Northwind数据库的CustOrderHist存储过程,接收一个字串UserID作为唯一的参数,并返回一个DataSet。如果调用Web服务的客户端可以通过消息级UsernameToken验证,那么就可以取回DataSet。如果不能通过验证的话,客户端将得到一个异常,告知它不能通过验证。WSE的优点在于你只要付出一点点劳动就可以了,大部分的工作已经由WSE在暗中为你完成了,所以你可以把大部分时间花费在构建Web服务的内容上,而不是为了构建一个安全的Web服务机制而疲于奔命。

 

 

[WebMethod]
public DataSet CustOrderHist(string CustId)
{
 // 只接受 SOAP格式的请求
 SoapContext requestContext = HttpSoapContext.RequestContext;
 if(requestContext==null)
 {
  throw new ApplicationException("Non-SOAP request!");
 }
 bool valid=false;
 try
 {
  foreach(SecurityToken tkn in requestContext.Security.Tokens)
  {
   if(tkn is UsernameToken)
   valid=true;
  }
 }
 catch(Exception ex)
 {
  throw new Exception( ex.Message + ": " + ex.InnerException.Message);
 }
 if (valid==false)
  throw new ApplicationException("Invalid or Missing Security Token.");
 SqlConnection cn;
 SqlDataAdapter da;
 DataSet ds;
 cn = new SqlConnection(System.Configuration.ConfigurationSettings.AppSettings["SqlConn"].ToString());
 cn.Open();
 da = new SqlDataAdapter("custorderHist '" +CustId + "'", cn);
 ds = new DataSet();
 da.Fill(ds, "CustOrderHist");
 return ds;
}

 

 

使用上面的WebMethod,我们就可在服务器上实现验证用户名/密码的操作。WebMethod必须引用Microsoft.Web.Services和Microsoft.Web.Services.Security域名空间。现在,我们要构建一个ASP.NET客户端,这个客户端能够发送验证所需的SOAP头,并可调用我们的Web服务方法。

  构建WSE ASP.NET客户端

  对于客户端,WSE提供了继承于System.Web.Services.Protocols.SoapHttpClientProtocol类的Microsoft.Web.Services.WebServicesClientProtocol类。当你在Visual Studio.NET中选择“Add Web Reference”选项的时候,或者使用WSDL.exe程序创建基于WSDL的客户端代码时,你需要使用SoapHttpClientProtocol类。你可做的就是使用Visual Studio.NET中的“Add Web Reference”选项或者WSDL.exe程序为你的客户端生成代理类,然后把代理类从继承于SoapHttpClientProtocol改为继承于WebServicesClientProtocol。这样代理类就有了RequestSoapContext和ResponseSoapContext属性,你可以使用它们访问你发送或接收的WS-Security头。在C#工程中,如果你已经使用了“Add Web Reference”选项,你可以点击Solution Explorer中的“Show All Files”按钮,点击这个按钮就可在Solution Explorer的Web References结点中显示Reference.cs文件,让你可以编辑这个文件。

  为了创建正确的UsernameToken和在消息级调用Web服务的代理方法,需要使用下面的代码:

private void Button1_Click(object sender, System.EventArgs e)
{
 localhost.SecurityServiceWse wse=new localhost.SecurityServiceWse();
 UsernameToken tkn = new UsernameToken(txtUsername.Text,txtPassword.Text,PasswordOption.SendHashed);
 wse.RequestSoapContext.Security.Tokens.Add (tkn);
 try
 {
  DataSet ds=wse.CustOrderHist(txtCustID.Text);
  DataGrid1.DataSource=ds;
  DataGrid1.DataBind();
 }
 catch(Exception ex)
 {
  DataGrid1.Visible=false;
  lblMessages.Text=ex.Message;
 }
}

  我们要做的就是从客户端的两个文本输入框txtUsername和txtPassword中取得输入字串,然后使用PasswordOption.SendHashed把它们结合起来创建一个有效的UserNameToken。当调用Web服务时,WSE SOAP扩展验证请求的一般格式,然后核对密码散列并从我们的PasswordProvider方法中取得的密码。如果两者匹配,我们就可调用Web服务方法,客户端返回数据集,显示在一个网格中。

  我们现在已经创建了一个完整的使用WSE配合数据库验证SHA1摘要散列用户名/密码的Web服务,希望读者们能通过本文了解到使用WSE保证Web服务安全的基本措施和方法,并能在实际工作中合理的去应用。

  在文章的最后,我们给出修改Northwind数据库Employees表的SQL脚本,给这个表添加了所需的username和password列,同时在这个表中插入了一条新纪录,其Firstname、Lastname、Username、Password和roles字段分别为“User”,“One”,“user1”,“pass1”和“user”。

USE NORTHWIND
GO
ALTER TABLE [dbo].[Employees]
ADD [Username] [varchar] (100) COLLATE SQL_Latin1_General_CP1_CI_AS NULL ,
[Password] [varchar] (100) COLLATE SQL_Latin1_General_CP1_CI_AS NULL ,
[roles] [varchar] (250) COLLATE SQL_Latin1_General_CP1_CI_AS NULL
GO
INSERT INTO EMPLOYEES (Firstname, Lastname,Username, [Password], roles)
VALUES('User','One', 'user1', 'pass1', 'user')
GO

0
0

查看评论
* 以上用户言论只代表其个人观点,不代表CSDN网站的观点或立场
    个人资料
    • 访问:229340次
    • 积分:3537
    • 等级:
    • 排名:第9285名
    • 原创:122篇
    • 转载:3篇
    • 译文:0篇
    • 评论:154条
    最新评论