Webサービスを保護するためにどのような方法を使用できますか？

Question

私は、不正なWebサービスのコンシューマからWebサービスを保護するために人々がどのような方法を使用するかを知ることに興味があります。

Answer 1

Webサービスセキュリティ専用プロトコルWS-Securityがあります。私は過去にその一部を使っていましたが、その時点では.Netにはそれほど多くのサポートはありませんでしたので、多くの作業がありました。

現在は.NetでSOAP拡張ヘッダーを使用しています。私は1つのWebサービスコールを認証してセッショントークンを取得し、その後、このトークンをSOAPヘッダーにすべての後続の呼び出しに含める。これはやや類似している。example。もちろん、すべてのリクエストはTLS経由で移動して、それらが侵害されないようにする必要があります。

Answer 2

私は通常、毎回ユーザーIDとパスワードのどちらかを送信するか、後で使用できる最初の認証済み接続からトークンを返す必要があります。

何もない。標準のWebアプリケーションログインによく似ています。

Answer 3

.NETはSOAPヘッダーを使いやすくしていますが、Javaを使用して（数ヶ月前に）問題がありました。サービスがクライアント（ブラウザ）用ではなく、バックエンドのWebサーバー用である場合は、IPベースのフィルタリングも行います。公開されているブラウザ用の消耗品ウェブサービスは、セッションクッキーによって保護されることが多く、Webサイトへの有効なログオンが必要な場合、AJAX経由のWebサービスへのリクエストに標準のセッション認証メカニズムが使用されます。

Answer 4

独自のアプリケーションで処理したくない場合は、IBMのDataPowerやVordelなどのネットワークアプライアンスを使用できます。