如何验证应用程序而不是用户？

Question

在WCF/Web服务/ WS-Trust联合安全性的上下文中，什么是通用的认证应用程序的方式，而不是用户？从我所收集的信息来看，似乎证书认证将成为一种方式，IE会专门为应用程序生成证书。我在正确的轨道上吗？还有其他的选择可以考虑吗？

Answer 1

如果应用程序在您的控制之下（例如您的服务器），那么一定要使用证书。 如果这是用户控制（桌面）下的应用程序，那么就没有真正的方法来以强有力的方式验证应用程序。即使您使用证书，用户也可以解压缩并在该应用程序的上下文之外发送消息。 如果这不是一个关键的安全系统，您可以做一些足够好的事情，如将证书嵌入到应用程序资源中。但是请记住，一旦应用程序在用户计算机上运行，​​其内部的每个秘密都可能迟早会显示出来。