Service de repos de WCF auto-hébergé et authentification de base

Malheureusement, j'ai déterminé (en analysant le code source de référence de la WCF et l'aide de l'outil Fiddler pour la session HTTP reniflant) selon lequel il s'agit d'un bogue dans la pile de WCF.

Utilisation de FIDDLER, j'ai remarqué que mon service WCF était Se comporter Contrairement à tout autre site Web utilisant l'authentification de base.

Pour être clair, c'est ce qui devrait arriver:

1. Navigateur envoie obtenir sans savoir qu'un mot de passe est même nécessaire.
2. Web Server rejette la demande avec un 401 non autorisé et inclut un www-authentifier en-tête contenant des informations sur des méthodes d'authentification acceptables.
3. Le navigateur invite l'utilisateur à entrer des informations d'identification.
4. Le navigateur renvoie obtenir demande et inclut l'authentification appropriée en-tête avec les informations d'identification.
5. Si les informations d'identification étaient correctes, le serveur Web répond avec 200 OK et la page Web. Si les informations d'identification ont eu tort, le serveur Web répond avec 401 non autorisé et inclut le même www-authentifier en-tête qu'il a fait à l'étape 2.

   Qu'est-ce qui se passait réellement avec mon service WCF était ceci:

   1. Navigateur envoie obtenir sans savoir qu'un mot de passe est même nécessaire.
   2. Avis WCF Il n'y a pas d'authentification d'en-tête de la requête et rejette aveuglément la demande avec un statut non autorisé (code> non autorisé et inclut un www-authentifier en-tête . Tout normal jusqu'à présent.
   3. Navigateur invite l'utilisateur pour les informations d'identification. Toujours normal.
   4. Le navigateur renvoie obtenir demande, y compris l'authentification approprié en-tête.
   5. Si les informations d'identification étaient correctes, le serveur Web répond avec 200 OK . Tout est bon. Si les informations d'identification étaient mauvaises cependant, WCF répond avec 403 interdit et n'inclut pas d'en-têtes supplémentaires tels que www-authentifier . .

      Lorsque le navigateur obtient le statut 403 interdit Il ne perçoit pas que cela soit une tentative d'authentification défaillante. Ce code d'état est destiné à informer le navigateur que l'URL qu'elle a essayé d'accéder est hors limites. Cela ne concerne aucune authentification. Cela a le terrible côté affectant que lorsque l'utilisateur tape mal que son nom d'utilisateur / mot de passe de manière incorrecte (et le serveur rejette avec 403), le navigateur Web ne reppompte pas l'utilisateur à saisir à nouveau leurs informations d'identification. En fait, le navigateur Web croit que l'authentification a réussi et stocke donc ces informations d'identification pour le reste de la session!

      Dans cet esprit, j'ai recherché des éclaircissements:

      Le RFC 2617 ( http://www.faqs.org/rfcs/rfc2617.html#ixzz0eboufnrl ) Ne mentionne nulle part l'utilisation du code d'état interdit . En fait, ce qu'il faut dire sur la question est le suivant:

      Si le serveur d'origine ne souhaite pas accepter les informations d'identification envoyées avec un demande, il devrait renvoyer un 401 (Non autorisée) réponse. La réponse Doit inclure un en-tête www-authentifier champ contenant au moins un Défi (éventuellement nouveau) applicable à la ressource demandée.

      WCF ne fait aucun de ces. Il n'envoie pas correctement un code d'état non autorisé non autorisé. Il n'inclut pas non plus un www-authentifier en-tête.

      MAINTENANT pour trouver le pistolet fumant dans le code source WCF:

      J'ai découvert que dans le HTTPequestContext La classe est une méthode appelée ProcessAuthentication , qui contient les éléments suivants (extrait): xxx

      Je défends Microsoft sur beaucoup de choses, mais c'est indéfendable.

      Heureusement, je l'ai eu de travailler à un niveau "acceptable". Cela signifie simplement que si l'utilisateur entre accidentellement dans son nom d'utilisateur / mot de passe de manière incorrecte, le seul moyen d'obtenir une autre tentative est de fermer complètement leur navigateur Web et de le redémarrer pour réessayer. Tous parce que WCF est pas répondant à la tentative d'authentification défaillante avec un 401 non autorisé et a www-authentifier en-tête selon la spécification.