通过SoapHeader来增强Web Service的安全性

要以安全的方式访问Web服务方法，可以考虑以下安全措施：

是谁调用？--SoapHeader身份认证。

来自哪里？--访问IP认证。

加密传输 --SSL安全访问。

这些安全保护措施常常是配合使用的。

7.9.1  通过SoapHeader来增强Web Service的安全性

通过SoapHeader我们可以让具有指定用户口令的用户来访问我们的Web服务接口。（完整代码示例位置：光盘/code/ch07/WebAppClient/WebForm-SoapHeader.aspx）

1．Web Service实现步骤

  首先引入命名空间

view plain copy to clipboard print ?

1. using System; 
2. using System.Collections; 
3. using System.ComponentModel; 
4. using System.Data; 
5. using System.Diagnostics; 
6. using System.Web; 
7. using System.Web.Services; 
8. using System.Web.Services.Protocols;  //对soap Head引用添加的命名空间 

using System; using System.Collections; using System.ComponentModel; using System.Data; using System.Diagnostics; using System.Web; using System.Web.Services; using System.Web.Services.Protocols; //对soap Head引用添加的命名空间

（1）定义自己的SoapHeader派生类。

view plain copy to clipboard print ?

1. public class MyHeader : System.Web.Services.Protocols.SoapHeader 
2.     { 
3.         private string _UserID = string.Empty; 
4.         private string _PassWord = string.Empty; 
5.  
6.         /// <summary> 
7.         /// 构造函数 
8.         /// </summary> 
9.         public MyHeader() 
10.         { 
11.  
12.         } 
13.  
14.         /// <summary> 
15.         /// 构造函数 
16.         /// </summary> 
17.         /// <param name="nUserID">用户ID</param> 
18.         /// <param name="nPassWord">加密后的密码</param> 
19.         public MyHeader(string nUserID, string nPassWord) 
20.         { 
21.             Initial(nUserID, nPassWord); 
22.         } 
26.         #region 属性 
27.  
28.         /// <summary> 
29.         /// 用户名 
30.         /// </summary> 
31.         public string UserID 
32.         { 
33.             get { return _UserID; } 
34.             set { _UserID = value; } 
35.         } 
36.  
37.         /// <summary> 
38.         /// 加密后的密码 
39.         /// </summary> 
40.         public string PassWord 
41.         { 
42.             get { return _PassWord; } 
43.             set { _PassWord = value; } 
44.         } 
46.         #endregion 
48.         #region 方法 
49.         /// <summary> 
50.         /// 初始化 
51.         /// </summary> 
52.         /// <param name="nUserID">用户ID</param> 
53.         /// <param name="nPassWord">加密后的密码</param> 
54.         public void Initial(string nUserID, string nPassWord) 
55.         { 
56.             UserID = nUserID; 
57.             PassWord = nPassWord; 
58.         } 
59.  
60.         /// <summary>         
61.         /// 用户名密码是否正确 
62.         /// </summary> 
63.         /// <param name="nUserID">用户ID</param> 
64.         /// <param name="nPassWord">加密后的密码</param> 
65.         /// <param name="nMsg">返回的错误信息</param> 
66.         /// <returns>用户名密码是否正确</returns> 
67.         public bool IsValid(string nUserID, string nPassWord, out string nMsg) 
68.         { 
69.             nMsg = ""; 
70.             try 
71.             { 
72.                 //判断用户名密码是否正确 
73.                 if (nUserID == "admin" && nPassWord == "admin") 
74.                 { 
75.                     return true; 
76.                 } 
77.                 else 
78.                 { 
79.                     nMsg = "对不起，你无权调用此Web服务，可能有如下原因：/n 1.您的帐号被管理员禁用。/n 2.您的帐号密码不正确"; 
80.                     return false; 
81.                 } 
82.             } 
83.  
84.             catch 
85.             { 
86.                 nMsg = "对不起，你无权调用此Web服务，可能有如下原因：/n 1.您的帐号被管理员禁用。/n 2.您的帐号密码不正确"; 
87.                 return false; 
88.             } 
89.  
90.         } 
91.  
92.         /// <summary> 
93.         /// 用户名密码是否正确 
94.         /// </summary> 
95.         /// <returns>用户名密码是否正确</returns> 
96.         public bool IsValid(out string nMsg) 
97.         { 
98.  
99.             return IsValid(_UserID, _PassWord, out nMsg); 
100.         } 
101.         #endregion 
102.     } 

public class MyHeader : System.Web.Services.Protocols.SoapHeader { private string _UserID = string.Empty; private string _PassWord = string.Empty; /// <summary> /// 构造函数 /// </summary> public MyHeader() { } /// <summary> /// 构造函数 /// </summary> /// <param name="nUserID">用户ID</param> /// <param name="nPassWord">加密后的密码</param> public MyHeader(string nUserID, string nPassWord) { Initial(nUserID, nPassWord); } #region 属性 /// <summary> /// 用户名 /// </summary> public string UserID { get { return _UserID; } set { _UserID = value; } } /// <summary> /// 加密后的密码 /// </summary> public string PassWord { get { return _PassWord; } set { _PassWord = value; } } #endregion #region 方法 /// <summary> /// 初始化 /// </summary> /// <param name="nUserID">用户ID</param> /// <param name="nPassWord">加密后的密码</param> public void Initial(string nUserID, string nPassWord) { UserID = nUserID; PassWord = nPassWord; } /// <summary> /// 用户名密码是否正确 /// </summary> /// <param name="nUserID">用户ID</param> /// <param name="nPassWord">加密后的密码</param> /// <param name="nMsg">返回的错误信息</param> /// <returns>用户名密码是否正确</returns> public bool IsValid(string nUserID, string nPassWord, out string nMsg) { nMsg = ""; try { //判断用户名密码是否正确 if (nUserID == "admin" && nPassWord == "admin") { return true; } else { nMsg = "对不起，你无权调用此Web服务，可能有如下原因：/n 1.您的帐号被管理员禁用。/n 2.您的帐号密码不正确"; return false; } } catch { nMsg = "对不起，你无权调用此Web服务，可能有如下原因：/n 1.您的帐号被管理员禁用。/n 2.您的帐号密码不正确"; return false; } } /// <summary> /// 用户名密码是否正确 /// </summary> /// <returns>用户名密码是否正确</returns> public bool IsValid(out string nMsg) { return IsValid(_UserID, _PassWord, out nMsg); } #endregion }

（2）添加基于SoapHeader验证的Web Service接口方法：

view plain copy to clipboard print ?

1. /// <summary> 
2.     /// myService 的摘要说明 
3.     /// </summary> 
4.     //[WebService(Namespace="http://MyServer/MyWebServices/")] 
5.     public class myService : System.Web.Services.WebService 
6.     { 
7.  
8.         /// <summary> 
9.         /// Soap头实例 
10.         /// </summary> 
11.         public MyHeader myHeader = new MyHeader();  //实例化SoapHead 
12.  
13.         public myService() 
14.         { 
15.             //CodeGenerated: 自动生成的代码，该调用是 ASP.NET Web 服务设计器所必需的 
16.             InitializeComponent(); 
17.         } 
21.         #region 组件设计器生成的代码 
22.         //Web 服务设计器所必需的 
23.         private IContainer components = null; 
24.  
25.         /// <summary> 
26.         /// 设计器支持所需的方法 - 不要使用代码编辑器修改 
27.         /// 此方法的内容。 
28.         /// </summary> 
29.         private void InitializeComponent() 
30.         { 
31.  
32.         } 
33.  
34.         /// <summary> 
35.         /// 清理所有正在使用的资源 
36.         /// </summary> 
37.         protected override void Dispose(bool disposing) 
38.         { 
39.             if (disposing && components != null) 
40.             { 
41.                 components.Dispose(); 
42.             } 
43.             base.Dispose(disposing); 
44.         } 
46.         #endregion 
47.         // WEB 服务示例 
48.         // HelloWorld() 示例服务返回字符串 Hello World 
49.         // 若要生成，请取消注释下列行，然后保存并生成项目 
50.         // 若要测试此 Web 服务，请按 F5 键 
51.  
52.  
53.         /// <summary> 
54.         /// 正常调用的方法 
55.         /// </summary> 
56.         /// <returns></returns> 
57.         [WebMethod] 
58.         public string HelloWorld() 
59.         { 
60.             return "Hello World"; 
61.         } 
62.  
63.         /// <summary> 
64.         /// 需要验证的方法，添加SoapHeader标识 
65.         /// </summary> 
66.         /// <param name="contents"></param> 
67.         /// <returns></returns> 
68.         [SoapHeader("myHeader")] 
69.         [WebMethod(Description = "HelloWord", EnableSession = true)] 
70.         public string HelloWorld2(string contents) 
71.         { 
72.             string msg = ""; 
73.             //验证是否有权访问 
74.             if (!myHeader.IsValid(out msg)) 
75.                 return msg; 
76.  
77.             return "Hello World:" + contents; 
78.         } 
79.     } 

/// <summary> /// myService 的摘要说明 /// </summary> //[WebService(Namespace="http://MyServer/MyWebServices/")] public class myService : System.Web.Services.WebService { /// <summary> /// Soap头实例 /// </summary> public MyHeader myHeader = new MyHeader(); //实例化SoapHead public myService() { //CodeGenerated: 自动生成的代码，该调用是 ASP.NET Web 服务设计器所必需的 InitializeComponent(); } #region 组件设计器生成的代码 //Web 服务设计器所必需的 private IContainer components = null; /// <summary> /// 设计器支持所需的方法 - 不要使用代码编辑器修改 /// 此方法的内容。 /// </summary> private void InitializeComponent() { } /// <summary> /// 清理所有正在使用的资源 /// </summary> protected override void Dispose(bool disposing) { if (disposing && components != null) { components.Dispose(); } base.Dispose(disposing); } #endregion // WEB 服务示例 // HelloWorld() 示例服务返回字符串 Hello World // 若要生成，请取消注释下列行，然后保存并生成项目 // 若要测试此 Web 服务，请按 F5 键 /// <summary> /// 正常调用的方法 /// </summary> /// <returns></returns> [WebMethod] public string HelloWorld() { return "Hello World"; } /// <summary> /// 需要验证的方法，添加SoapHeader标识 /// </summary> /// <param name="contents"></param> /// <returns></returns> [SoapHeader("myHeader")] [WebMethod(Description = "HelloWord", EnableSession = true)] public string HelloWorld2(string contents) { string msg = ""; //验证是否有权访问 if (!myHeader.IsValid(out msg)) return msg; return "Hello World:" + contents; } }

2．客户端调用具有SoapHeader的Web Service

view plain copy to clipboard print ?

1. //创建myService对象 
2. StudySoapHead.myService service =  new StudySoapHead.myService(); 
3. //创建soap头对象 
4. StudySoapHead.MyHeader header=new StudySoapHead.MyHeader(); 
5. //设置soap头变量  
6. header.PassWord = "admin";  
7. header.UserID = "admin"; 
8. service.myHeader = header; 
9. //调用web 方法 
10. Console.WriteLine(service.HelloWorld()); 
11. Console.WriteLine(service.HelloWorld2("Valid request!")); 
12. Console.Read(); 

//创建myService对象 StudySoapHead.myService service = new StudySoapHead.myService(); //创建soap头对象 StudySoapHead.MyHeader header=new StudySoapHead.MyHeader(); //设置soap头变量 header.PassWord = "admin"; header.UserID = "admin"; service.myHeader = header; //调用web 方法 Console.WriteLine(service.HelloWorld()); Console.WriteLine(service.HelloWorld2("Valid request!")); Console.Read();

通过SoapHeader对用户口令进行验证，只有授权的用户才可以使用该接口。确保了访问接口用户的安全性。