处理多层 Windows 应用程序中的安全性答案

【问题标题】：Handling Security in a multi tier Windows application处理多层 Windows 应用程序中的安全性
【发布时间】：2012-09-09 21:20:21
【问题描述】：

我有一个客户端服务器解决方案。客户端是wpf，服务器是windows service(.net，通过wcf连接)。

我希望我的用户有两种登录方式。一种是用户名和密码。其他在使用 Windows 安全。

安全内容应该从客户端发送到服务器，服务器应该根据活动目录验证用户和角色。在用户名、密码场景下，会使用数据库进行验证。

但是我从客户端向服务器发送什么？ IPrincipal 的实现？或者只是用户名，然后服务器查找它？以及如何使用我的应用程序中的角色配置服务器上的用户？我可以显示活动目录对话框并浏览用户和组，然后将它们与我自己的角色匹配吗？

这是我想做的事情 - 更新 在具有传输安全性的 wcf 线路上将用户名/密码发送到服务器。然后让服务器验证提供的用户名/密码是否有效并有权使用该应用程序。请注意，这里既有身份验证又有授权。并非所有用户（即使他们是有效的 Windows 用户）都可以访问该应用程序。

例如他们有 100 名员工，只购买了 10 个许可证。

【问题讨论】：

如果你想使用 Windows Auth，我相信你配置 IIS 来做到这一点，而不是 WCF。（我认为当调用到达 WCF 时，Windows 身份验证检查必须已经发生）但我不知道。

【解决方案1】：

对于用户名，这是客户端代码

至于两个凭据，我认为您可以在两个端点上做到这一点。

【讨论】：

感谢您的评论。不知道这是否是我正在寻找的解决方案。我想在我的服务器中强制执行角色，并且只有有权访问我的应用程序的用户和角色才能登录。据我所知，您的解决方案对所有用途都施加了相同的安全性。这样做的原因是我希望客户购买一定数量的用户，然后强制执行。