Безопасность для приложения Flex при недоступности SSL

Сам сеанс ASP.NET - это безопасность на основе токенов, и да, вы можете легко реализовать это, выполнив

[WebMethod(true)]

и да, любой веб-метод требует, чтобы сначала был выполнен вход, он должен вызывать User.IsAuthenticated, который проверяет токен сеанса.

Вы можете легко реализовать аутентификацию с помощью формы (пусть web.config пуст, вы можете использовать FormsAuthentication в коде).

Например,

[WebMethod(true)]
public string DoLogin(
    string username,
    string password)
{

    //.. do your verification
    FormsAuthentication.SetAuthCookie(username,false);
    return "Login Sucessful";
}

[WebMethod(true)]
public string ChangePassword(
    string oldPass,
    string newPass)
{
     // verify user is logged on or not..
     if(!User.IsAuthenticated)
          return "Please Login";
     // The code below is secure, only 
     // authenticated user will go through below
     // change pass...


     return "Password Changed Successfully.";
}

Мы разработали много сайтов Flex + ASP.NET, мы сделали то же самое, но вместо возврата «строки» мы обычно возвращаем такой класс, как следующий ...

public class WSResult<T>{
     public bool Successful;
     public string Message;
     public T Result;
     public T[] Results;
}

Соглашение простое: если метод был успешным, вы возвращаете Success = true, и в зависимости от того, хотите ли вы вернуть массив элементов или только один элемент, вы можете вернуть либо Results, либо Result. В случае, если произошла какая-либо ошибка или несанкционированный доступ, вы можете установить Successful = false и установить сообщение как подробную строку. Как в следующем примере.

[WebMethod(true)]
public WSResult<BusinessUser> DoLogin(
    string username,
    string password)
{
    try{
       BusinessUser user = BusinessUser.GetByUsername(username);
       if(user==null)
            throw new Exception("User not found");
       if(user.Password != password)
            throw new Exception("Password did not match");
       return new WSResult<BusinessUser>{ Result=user };
    }catch(Exception ex)
    {
        // this will even catch any DAL exceptions or any system error as well
        // Log Exception... somewhere for tracking...
        return new WSResult<BusinessUser>{ Successful=false, Message = ex.Message };
    }
}

К сожалению, я знаю диддли приседания о флексе, но думаю, что все равно могу помочь. Я думаю, у вас есть два достаточно хороших варианта.

Но сначала нам нужно кое-что прояснить ... Вы говорите, что сервер не выполняет никакой авторизации? Есть ли у него хотя бы возможность аутентифицировать пользователя? У вас есть контроль над серверным кодом? В противном случае я не думаю, что следующие предложения помогут. Я не уверен, как вы должны защитить сервер с помощью только клиентского кода. Может быть, способ есть, но я не могу его придумать.

1) Используйте дайджест-аутентификацию HTTP. Для этого необходимо, чтобы сервер был настроен для его понимания и чтобы в гибком API была поддержка для добавления соответствующего заголовка аутентификации в HTTP-запрос. Сервер аутентифицирует пользователя по его паролю и может проверить, какие операции могут выполняться указанным пользователем с использованием какого-либо механизма авторизации.

2) Следуйте инструкциям в этой статье, чтобы реализовать схема аутентификации, которую используют многие конечные точки публикации атома. Flex api должен будет обеспечивать для этого некоторую поддержку, хотя, возможно, существует уже существующая сторонняя библиотека. Если вы можете получить доступ к заголовкам HTTP, вы сможете реализовать остальное.

Удачи.

Как вы общаетесь с сервером SOAP. ОТДЫХ и т. Д.?

Если это SOAP, посмотрите ответ на этот вопрос.

Общая защита паролей и реализация в ActionScript 3

и вот ссылка, как добавить заголовок в сообщение SOAP

Как добавить плоский заголовок сообщения к вызову гибкой веб-службы?

Надеюсь это поможет

Джон