保护 WCF 服务的策略，返回 jQuery 请求的 Json 数据

Question

我很难理解这一点，而 Google 也没有提供帮助。

我正在考虑将一些遗留代码转换为使用以下技术：ASP.NET、WCF、jQuery。

ASP.NET 转换不是问题，在服务器端访问 WCF 服务以获取数据也不是问题。

但是，我遇到的问题可能是能够保护服务，以便我可以返回 JSON 格式的数据，在客户端通过 jQuery 请求，但将其锁定以防止外部访问。

对于这个特定的实现，这没什么大不了的，因为...类 Ajax 的功能已经存在了很长一段时间，并且没有被滥用。

但是，一旦这个项目完成，我想把我学到的东西转换成另一种经常被滥用的形式，并允许更流畅的显示。

如果我想对 Web 服务进行客户端调用，我是否会卡住让我的 Web 服务对匿名访问开放？

没有将 Web 界面保护到特定的用户子集（我认为保护已登录用户的附加功能没有问题），在这种情况下是否有任何其他策略来保护 Web 服务？我只是忽略了一些明显的东西吗？

Answer 1

需要通过 ajax 为服务器端页面及其调用者提供经过身份验证的会话，并且两者都在 HTTPS 之后。

另一种策略是使用在最后一次页面加载期间绑定到会话的令牌来确认会话本身没有被劫持。这是在客户端加载页面时完成的。服务器跟踪下一个令牌必须是什么才能确认有效请求。