代码之家 › 专栏 › 技术社区 › Anthony

如何验证服务器端web服务的浏览器IP

authentication web-services

Anthony · 技术社区 · 14 年前

用户A转到网页B。网页B呼叫Web服务C以获取有关用户A的某些信息。如果未确认请求来自用户A的IP,而不是窃取用户A会话的用户,则Web服务C不会向网页B提供所请求的信息。

我认为对于基于浏览器的解决方案,原始站点(网页B)可以打开一个iframe,该iframe指向Web服务的身份验证页面。将某种类型的密钥传递给浏览器,浏览器将说明如何指示用户的IP和网页B的IP,以便Web服务可以确认没有人捕获任何内容。

我有两个挑战,但我将首先坚持更直接的挑战:

我不确定我基于浏览器的计划是否真的有意义。如果有人窃取会话cookie,Web服务将如何知道?这个cookie会被保存在网页B上,因此更难被窃取吗?这是一个合理的假设,一个cookie或密钥只由服务器持有,而不是浏览器是安全的?

另外,基于iframe初始连接的web服务是否需要服务器/用户ip组合?我的意思是,通过iframe提供的会话密钥是否由web服务存储,并且web站点B显示它具有匹配项?或者会话密钥更通用,这意味着web服务由网站B传递密钥,web服务根据有效会话密钥的外观验证这是否是有效会话密钥?

1 回复 | 直到 14 年前

Ravi Gupta 14 年前

为什么不给你的用户一个数字证书。当客户端请求一个Web服务时,证书会被传递。Web服务检查数字证书的存在并作出相应的反应。数字证书比IP阻塞有很大的好处。与用户身份验证一样,在实际调用Web方法之前,不会对数字证书进行安全检查。因此,访问者仍然可以查看Web服务或相关Web页面的WSDL页面。

推荐文章

Community wiki · 基于两个参数在文本框中使用上下文键自动完成?

1 年前

TSSK · 组织。阿帕奇。cxf。运输http。HTTPException:HTTP响应“415:不支持的媒体类型”

2 年前

user18296410 · 使用python zeep向wsdl URL发出Soap请求

2 年前

wolÏi · 使用PL/SQL使用web服务:UTL_DBWS还是APEX_web_服务?

6 年前

user755806 · 从Rest服务返回JSON响应?

6 年前

Vesnog · 在SOAP请求中使用自定义字段实现WSSE安全头时发生C#运行时错误

6 年前

tabn3adit · 如何修复此错误android:找不到类的com。猫头鹰似的。詹森。Genson'

6 年前

Kris Swat · 如何在web service出站网关中记录请求回调后的消息

6 年前

user9801071 · 如何使用Autodesk Forge API通过web应用程序为三维模型着色?

6 年前

edwnmnashe · 获取soap属性值google appscript

6 年前