如何保护SOAP Web Service仅允许自研Unity游戏调用？

适用场景与可行性 #

这个方案是完全可行的，特别适合初期小规模测试、非敏感数据同步的场景——比如简单的游戏存档上传下载、公共排行榜数据获取，不需要区分单个用户身份的情况下，实现成本极低，能快速完成客户端与服务端的对接。

潜在风险要注意 #

但它的局限性也很明显，你得提前做好心理准备：

• 凭证泄露风险高：Unity的C#代码很容易被反编译（比如用dnSpy这类工具），硬编码在源码里的账号密码几乎是“裸奔”状态，一旦被破解，任何人都能随意调用你的Web Service。
• 无用户区分能力：所有用户共用一套凭证，你没法追踪单个用户的行为，也没法在某个用户滥用服务时单独禁用。
• 凭证更新成本高：如果密码泄露需要更换，你得重新编译客户端并推送更新，所有用户都要升级游戏才能继续使用服务。

服务端（ASP.NET SOAP Web Service） #

方式1：直接在Web方法中验证凭证 #

这是最简单的实现方式，让每个业务方法接收用户名和密码参数，在方法开头做验证：

using System.Web.Services;
using System.Web.Services.Protocols;
using System.Configuration;

[WebService(Namespace = "http://your-game-namespace.com/")]
public class GameDataService : WebService
{
    // 建议把凭证存在Web.config里，不要硬编码在代码中
    private readonly string _fixedUsername = ConfigurationManager.AppSettings["ServiceUsername"];
    private readonly string _fixedPassword = ConfigurationManager.AppSettings["ServicePassword"];

    [WebMethod]
    public string UploadGameData(string username, string password, string gameData)
    {
        // 验证凭证合法性
        if (username != _fixedUsername || password != _fixedPassword)
        {
            throw new SoapException("Unauthorized: Invalid credentials", SoapException.ClientFaultCode);
        }

        // 这里写你的数据存储逻辑（比如存到数据库）
        return "Upload successful";
    }

    [WebMethod]
    public string DownloadGameData(string username, string password, string playerId)
    {
        if (username != _fixedUsername || password != _fixedPassword)
        {
            throw new SoapException("Unauthorized: Invalid credentials", SoapException.ClientFaultCode);
        }

        // 这里写你的数据查询逻辑（比如从数据库取对应playerId的存档）
        return "Sample game save data";
    }
}

配置Web.config的示例：

<appSettings>
  <add key="ServiceUsername" value="game_official_user"/>
  <add key="ServicePassword" value="your_strong_password_123"/>
</appSettings>

方式2：用SOAP头传递凭证（更规范） #

如果不想每个方法都带凭证参数，可以自定义SOAP头来传递，代码更简洁：

1. 创建自定义SOAP头类：

public class AuthHeader : SoapHeader
{
    public string Username { get; set; }
    public string Password { get; set; }
}

2. 在Web Service类中引用并验证：

[WebService(Namespace = "http://your-game-namespace.com/")]
public class GameDataService : WebService
{
    // 声明SOAP头变量
    public AuthHeader AuthenticationHeader;
    private readonly string _fixedUsername = ConfigurationManager.AppSettings["ServiceUsername"];
    private readonly string _fixedPassword = ConfigurationManager.AppSettings["ServicePassword"];

    [WebMethod]
    [SoapHeader("AuthenticationHeader")] // 指定使用的SOAP头
    public string UploadGameData(string gameData)
    {
        // 验证SOAP头是否存在、凭证是否正确
        if (AuthenticationHeader == null || 
            AuthenticationHeader.Username != _fixedUsername || 
            AuthenticationHeader.Password != _fixedPassword)
        {
            throw new SoapException("Unauthorized: Invalid credentials", SoapException.ClientFaultCode);
        }

        // 处理上传逻辑
        return "Upload successful";
    }
}

3. 强制HTTPS：在IIS中为网站绑定有效的SSL证书，并且设置URL重定向，强制所有请求走HTTPS，避免凭证被明文拦截。

客户端（Unity） #

步骤1：生成SOAP客户端代理 #

• 打开Visual Studio创建一个临时控制台项目，右键“添加服务引用”，输入你的Web Service的WSDL地址（比如https://your-server.com/GameDataService.asmx?wsdl），生成代理类。
• 将生成的代理类文件（比如GameDataService.cs）导入Unity项目的Assets/Scripts目录下。

步骤2：调用服务并传递凭证 #

如果用方式1（参数传递凭证）：

using UnityEngine;
using System;

public class GameDataSync : MonoBehaviour
{
    // 建议对凭证做简单混淆，不要直接写明文
    private const string ServiceUsername = "game_official_user";
    private const string ServicePassword = "your_strong_password_123";

    public void UploadPlayerData(string playerId, string saveData)
    {
        try
        {
            var service = new GameDataService();
            // 手动指定服务地址（如果WSDL生成的地址不对）
            service.Url = "https://your-server.com/GameDataService.asmx";
            
            string result = service.UploadGameData(ServiceUsername, ServicePassword, saveData);
            Debug.Log("Upload result: " + result);
        }
        catch (SoapException ex)
        {
            Debug.LogError("Authentication failed: " + ex.Message);
        }
        catch (Exception ex)
        {
            Debug.LogError("Upload error: " + ex.Message);
        }
    }
}

如果用方式2（SOAP头传递凭证）：

using UnityEngine;
using System;

public class GameDataSync : MonoBehaviour
{
    private const string ServiceUsername = "game_official_user";
    private const string ServicePassword = "your_strong_password_123";

    public void UploadPlayerData(string saveData)
    {
        try
        {
            var service = new GameDataService();
            service.Url = "https://your-server.com/GameDataService.asmx";
            
            // 创建并设置认证头
            var authHeader = new AuthHeader();
            authHeader.Username = ServiceUsername;
            authHeader.Password = ServicePassword;
            service.AuthenticationHeaderValue = authHeader;
            
            string result = service.UploadGameData(saveData);
            Debug.Log("Upload result: " + result);
        }
        catch (SoapException ex)
        {
            Debug.LogError("Authentication failed: " + ex.Message);
        }
        catch (Exception ex)
        {
            Debug.LogError("Upload error: " + ex.Message);
        }
    }
}

步骤3：简单保护客户端凭证 #

为了降低反编译泄露的风险，可以对凭证做简单混淆，比如XOR加密：

// 客户端加密，服务端用同样的逻辑解密
private string EncryptDecrypt(string input, string key)
{
    char[] inputChars = input.ToCharArray();
    char[] keyChars = key.ToCharArray();
    for (int i = 0; i < inputChars.Length; i++)
    {
        inputChars[i] = (char)(inputChars[i] ^ keyChars[i % keyChars.Length]);
    }
    return new string(inputChars);
}

// 使用示例
string encryptedUsername = EncryptDecrypt("game_official_user", "your_secret_key");
string encryptedPassword = EncryptDecrypt("your_strong_password_123", "your_secret_key");

另外，建议用Unity的IL2CPP编译（而非Mono），并开启第三方代码混淆工具（比如ConfuserEx），增加反编译的难度。

如果你的游戏后续会扩大规模或涉及敏感数据，建议逐步过渡到更安全的方案：

• 改用临时令牌机制（比如JWT）：客户端先调用登录接口获取短期令牌，后续用令牌访问服务，令牌过期后重新登录。
• 实现设备绑定：结合客户端的设备ID生成唯一凭证，减少共用凭证的风险。
• 添加请求签名：客户端对请求内容生成签名，服务端验证签名，防止请求被篡改。

内容的提问来源于stack exchange，提问作者stighy