我使用的安全和身份验证方法

Question

我不是程序员，但出于某种原因，我在工作中编写程序是为了做一些让工作更轻松的应用程序。无论如何，这个“一些应用程序”多年来一直在变大。我一直在理解安全或身份验证相关的事情方面遇到问题，所以我按照自己的方式去做（这确实远非正确）。我使用 C#，主要用于使用 WCF 的客户端/服务器应用程序。

现在的问题在于我在 WCF 中的方法。都是这样的：

public Employee AddEmployee(Guid sessionID, Employee emp)
{
    Session session = Common.CheckSession(sessionID);

    // do stuff
 }

如您所见，sessionID 被传递给对 WCF 的每次调用。一旦用户使用另一种 WCF 方法登录，就会生成此 ID。在数据库中创建一行，并在每个方法中调用的“CheckSession”检查会话是否有效以及用户是否被允许等等。使用 SSL 保护连接。

这是怎么回事？我现在可以继续做吗？还是我应该停止它，因为它太乱了，然后开始找出正确的方法？

Answer 1

如果您眯起眼睛并将头转向一边，这就是身份验证的工作原理。

除了，WCF 使用加密层来发送消息，因此没有人可以窥探您的会话/身份验证/数据信息

它会进行类似的检查，而不是每次调用，但它会在一开始就挂钩调用（您也可以这样做），检查身份验证，然后在允许的情况下将其传递。

那只是为了验证（确定你就是你所说的那个人）。安全性，是否允许特定用户执行特定操作是通过“角色”之类的东西来控制的。但如果您有更细粒度的安全问题，您可能需要构建更多检查。

现在是你自己发明的？不是一个好主意。你的方法太容易有漏洞了。