用WSE在Web服务中验证用户身份(3)

六、编写一个使用WS-Security的WebMethod

　　现在我们需要创建一个使用WS-Security的WebMethod。 这里，我实现了一个简单的方法，它运行Northwind数据库的CustOrderHist存储过程，接收一个字串UserID作为唯一的参数，并返回一个DataSet。如果调用Web服务的客户端可以通过消息级UsernameToken验证，那么就可以取回DataSet。如果不能通过验证的话，客户端将得到一个异常，告知它不能通过验证。WSE的优点在于你只要付出一点点劳动就可以了，大部分的工作已经由WSE在暗中为你完成了，所以你可以把大部分时间花费在构建Web服务的内容上，而不是为了构建一个安全的Web服务机制而疲于奔命。

[WebMethod]
public DataSet CustOrderHist(string CustId)
{
　// 只接受 SOAP格式的请求
　SoapContext requestContext = HttpSoapContext.RequestContext;
　if(requestContext==null)
　{
　　throw new ApplicationException("Non-SOAP request!");
　}
　bool valid=false;
　try
　{
　　foreach(SecurityToken tkn in requestContext.Security.Tokens)
　　{
　　　if(tkn is UsernameToken)
　　　valid=true;
　　}
　}
　catch(Exception ex)
　{
　　throw new Exception( ex.Message + ": " + ex.InnerException.Message);
　}
　if (valid==false)
　　throw new ApplicationException("Invalid or Missing Security Token.");
　SqlConnection cn;
　SqlDataAdapter da;
　DataSet ds;
　cn = new SqlConnection(System.Configuration.ConfigurationSettings.AppSettings["SqlConn"].ToString());
　cn.Open();
　da = new SqlDataAdapter("custorderHist '" +CustId + "'", cn);
　ds = new DataSet();
　da.Fill(ds, "CustOrderHist");
　return ds;
}

　　使用上面的WebMethod，我们就可在服务器上实现验证用户名/密码的操作。WebMethod必须引用Microsoft.Web.Services和Microsoft.Web.Services.Security域名空间。现在，我们要构建一个ASP.NET客户端，这个客户端能够发送验证所需的SOAP头，并可调用我们的Web服务方法。

　　七、构建WSE ASP.NET客户端

　　对于客户端，WSE提供了继承于System.Web.Services.Protocols.SoapHttpClientProtocol类的Microsoft.Web.Services.WebServicesClientProtocol类。当你在Visual Studio.NET中选择“Add Web Reference”选项的时候，或者使用WSDL.exe程序创建基于WSDL的客户端代码时，你需要使用SoapHttpClientProtocol类。你可做的就是使用Visual Studio.NET中的“Add Web Reference”选项或者WSDL.exe程序为你的客户端生成代理类，然后把代理类从继承于SoapHttpClientProtocol改为继承于WebServicesClientProtocol。这样代理类就有了RequestSoapContext和ResponseSoapContext属性，你可以使用它们访问你发送或接收的WS-Security头。在C#工程中，如果你已经使用了“Add Web Reference”选项，你可以点击Solution Explorer中的“Show All Files”按钮，点击这个按钮就可在Solution Explorer的Web References结点中显示Reference.cs文件，让你可以编辑这个文件。

　　为了创建正确的UsernameToken和在消息级调用Web服务的代理方法，需要使用下面的代码：

private void Button1_Click(object sender, System.EventArgs e)
{
　localhost.SecurityServiceWse wse=new localhost.SecurityServiceWse();
　UsernameToken tkn = new UsernameToken(txtUsername.Text,txtPassword.Text,PasswordOption.SendHashed);
　wse.RequestSoapContext.Security.Tokens.Add (tkn);
　try
　{
　　DataSet ds=wse.CustOrderHist(txtCustID.Text);
　　DataGrid1.DataSource=ds;
　　DataGrid1.DataBind();
　}
　catch(Exception ex)
　{
　　DataGrid1.Visible=false;
　　lblMessages.Text=ex.Message;
　}
}

　　我们要做的就是从客户端的两个文本输入框txtUsername和txtPassword中取得输入字串，然后使用PasswordOption.SendHashed把它们结合起来创建一个有效的UserNameToken。当调用Web服务时，WSE SOAP扩展验证请求的一般格式，然后核对密码散列并从我们的PasswordProvider方法中取得的密码。如果两者匹配，我们就可调用Web服务方法，客户端返回数据集，显示在一个网格中。

　　我们现在已经创建了一个完整的使用WSE配合数据库验证SHA1摘要散列用户名/密码的Web服务，希望读者们能通过本文了解到使用WSE保证Web服务安全的基本措施和方法，并能在实际工作中合理的去应用。

　　在文章的最后，我们给出修改Northwind数据库Employees表的SQL脚本，给这个表添加了所需的username和password列，同时在这个表中插入了一条新纪录，其Firstname、Lastname、Username、Password和roles字段分别为“User”，“One”，“user1”，“pass1”和“user”。

USE NORTHWIND
GO
ALTER TABLE [dbo].[Employees]
ADD [Username] [varchar] (100) COLLATE SQL_Latin1_General_CP1_CI_AS NULL ,
[Password] [varchar] (100) COLLATE SQL_Latin1_General_CP1_CI_AS NULL ,
[roles] [varchar] (250) COLLATE SQL_Latin1_General_CP1_CI_AS NULL
GO
INSERT INTO EMPLOYEES (Firstname, Lastname,Username, [Password], roles)
VALUES('User','One', 'user1', 'pass1', 'user')
GO