WIF是否是保护WCF 4.0 Restful服务与iPhone安全的好选择？

Question

我有一个项目需要将WCF RESTful服务暴露给iPhone/iPad客户端。WCF已经可以工作，现在我需要使用用户名和密码来保护它。

由于某些原因，我有点不愿意选择CustomBasicAuth。

对于WCF世界来说，OAuth也不是理想的选择，你必须创建包装器来解决它。如果我错了，请务必纠正我。

现在，我正在研究Windows Identification Foundation。老实说，那看起来是一个聪明的方法，但缺乏文档。

有两件事情必须考虑：

1. 实现必须适用于iPhone（不仅适用于.NET世界）
2. 实现需要轻松部署到云中（Azure）

我想知道你会选择哪个选项，以及选择它的原因。任何链接或参考资料都将不胜感激。

- D.J

Answer 1

你可能想要尝试这个用于 WCF REST 的基本身份验证实现，http://weblogs.asp.net/cibrax/archive/2009/03/20/custom-basic-authentication-for-restful-services.aspx 根据您的要求，基本身份验证应该已经足够满足您的需求。WIF 只会在混合中添加一些噪音。

谢谢， Pablo.

- Pablo Cibraro

---

不错的博客文章，顺便说一句。但是据我所知，WCF REST 所需的 webHttpBinding 不支持 HTTPS 主机。而基本身份验证需要 HTTPS 才能确保安全。如何解决这个问题？ - isekaijin

Answer 2

看看这篇不错的代码项目文章，

http://www.codeproject.com/Articles/149738/Basic-Authentication-on-a-WCF-REST-Service

我也在调查这个问题，所以我不确定这是完整的解决方案，但仍然值得一读。

我想向您的问题添加以下架构上的考虑：

如果您想在同一系统中支持主动（WCF）和被动（Web浏览器身份验证），该怎么办？ 我还不确定。

- James Roeiter

Answer 3

Windows Indentity Foundation - WIF，使用SAML 2.0声明。

因此，它非常适合跨平台和云端。

这里是WIF文档的链接：http://msdn.microsoft.com/en-us/security/aa570351

请注意，WIF也用于Windows Azure访问控制服务。

- Shiraz Bhaiji

---

Wit不能直接与SAML2配合使用，但从今年5月开始，它有一个扩展程序可以解决这个问题，但是该扩展程序存在缺陷。您是否遇到过在iPhone上使用Wit功能的现场示例或用例？ - vittore

Answer 4

我正在为我们的一个站点在Azure中使用一个自定义STS中的WIF。我唯一关心的是代理是否能够处理WIF生成的cookie的大小，因为它们可能会非常大。我们被与声明不起作用有关的异常淹没了，因为某些浏览器由于cookie大小限制而无法正常工作。当然，我不知道您使用的平台是否存在这些限制。

- Jeff