如何将跨域 Web 服务的使用限制为某些请求

Question

如果我在 .NET 中有一个 Web 服务，例如 WCF 或 ASMX，当在服务器上发布此服务时，您将无法从托管它的应用程序以外的任何地方访问它，除非您更改允许跨域访问的安全设置。

如果地址已知，现在任何应用程序都可以使用此 Web 服务，对吗？ 例如，您可以在本地浏览器中调用此服务器 Web 服务并查看它的作用...

问题是 我怎样才能保护这个网络服务......并限制对某些定义的应用程序或已经预定义到网络服务的请求的消费？

Answer 1

现代浏览器默认阻止跨域访问。这可以通过利用CORS 规范定义的Access-Control-Allow-Origin 标头有条件地放宽。具体来说，来自现代浏览器的跨域 XHR 请求将始终包含一个 Origin 标头，您的服务器代码可以使用它来根据发出请求的页面的域来过滤请求。您的服务器可以拒绝请求，例如，以 401（未授权）响应状态响应），或者通过返回与 Origin 请求标头中的值相同的 Access-Control-Allow-Origin 标头来兑现请求。

请注意，但是，通过 CORS 放宽对系统的访问 - 从安全角度来看 - 与使用某种形式的身份验证来限制访问非常不同。您依赖客户在声明其来源时表现良好，但这并不总是一个有效的假设。

Answer 2

您需要将身份验证添加到您的网络服务。因此，对每个方法的请求都将通过 cookie 中发送的令牌进行身份验证。

对于网站，这可以使用网站其余部分使用的身份验证 cookie。如果用户必须登录移动应用程序，那么您还需要对他们进行身份验证。

这将阻止任何无法访问您的网站或移动应用程序的人使用您的网络服务。

我还强烈建议使用 TLS (SSL) 保护您的 Web 服务和站点，以便通过 HTTPS 访问所有内容。