穷人的身份验证

听起来不错。标准HMAC材料。但是你的弱点:

1. 应用程序:依靠javascript和会话
2. 安全性:使用新的代码库

根据你的要求,你可能没事。我已经说过,我强烈建议使用表单身份验证,这可以解决这些问题以及更多的问题。而且很容易使用。

我只是将用户身份验证硬编码到web.config中。这意味着您仍然可以使用成员资格控件。我们可以看到一个很好的例子 here . 不需要数据库,也不需要成员资格提供程序。如果您有一个用户(或很少的用户),那么这是一个很好的选择。

如果您担心web.config中的身份验证详细信息,那么可以 encrypt specific sections Web.config的。

这似乎是一个比您已经实现的更简单的解决方案。

嗯,为什么不呢? http://en.wikipedia.org/wiki/Basic_access_authentication 使用HTTPS(甚至不使用)?

--威胁的真实情况是什么?

你的方法似乎有点老生常谈。通常的规则是尝试使用现有的安全系统,而不是自己发明。发明一种真正安全的新身份验证机制是一个非常困难的问题。

许多智能人(即创建WEP的软件工程师)在创建自己的安全认证机制时尝试过,但失败了。搞砸自己的“定制”安全认证的可能性是无止境的(没有冒犯,但即使对安全专家来说,处理它也是一个极其困难的问题)。

我认为最好用 经过证实的 如基于SSL证书的身份验证方法。

TLS/SSL有什么问题?它将在这里提供许多好处,其中最不重要的是一些站点线程——用户身份验证。

正如前面所提到的,为什么不直接使用表单身份验证和ssl证书-非常容易设置(特别是对于一个用户),而且您知道它已经过测试…你不知道你可能错过了什么。