如何提升ASMX WebService安全性？除哈希外的其他可行方案
嘿，针对你提到的ASMX WebService凭证安全问题，直接哈希凭证后塞进NetworkCredential其实并不是最优解——毕竟如果传输层没加密，哈希值本身也可能被拦截复用，而且NetworkCredential的设计也不是用来存哈希值的。下面给你几个更靠谱的提升安全性的方法：
强制启用HTTPS传输
这是最基础也最关键的一步！HTTP协议下所有请求内容（包括请求头里的身份信息）都是明文传输，抓包就能直接拿到。而HTTPS会通过SSL/TLS加密整个通信链路，哪怕攻击者捕获到数据包，也只能拿到加密后的乱码，无法解析出凭证内容。
你需要给WebService服务器配置有效的SSL证书，确保服务地址以https://开头，客户端调用时也使用HTTPS地址。另外，NetworkCredential配合HTTPS使用时，比如用基本认证或Windows集成认证，传输的都是加密后的身份令牌，而非明文密码。改用Token-based身份验证
放弃直接在每次请求中传递NetworkCredential，换成令牌机制：- 客户端先调用一个专门的登录接口（必须走HTTPS），传入用户名密码；
- 服务端验证通过后，返回一个加密的、有过期时间的Token（比如JWT，或者自定义加密令牌）；
- 后续客户端每次请求WebService时，都在请求头里带上这个Token；
- 服务端拦截请求，先验证Token的有效性和合法性，再处理业务逻辑。
这种方式下，凭证只在登录时传输一次，Token可以设置短过期时间，就算泄露，影响范围也有限。ASMX虽然是老技术，但可以在Global.asax里实现请求拦截来验证Token。
使用Windows集成身份验证（Kerberos/NTLM）
如果你的服务和客户端都在Windows域环境内，这是最安全省心的方案。不需要手动设置NetworkCredential的用户名密码，客户端会自动使用当前登录用户的域身份，通过Kerberos或NTLM协议进行身份验证——整个过程不会在网络上传输明文密码，而是通过加密的令牌协商完成认证。
配置方法很简单：在WebService的web.config里设置<authentication mode="Windows"/>，客户端调用时直接用CredentialCache.DefaultCredentials作为Credentials，或者干脆不设置，自动用当前用户身份。自定义加密身份验证机制
如果上述方案都不适用，可以自己实现一套加密逻辑：
客户端将用户名密码用对称加密算法（比如AES）加密后，放在请求头或自定义请求参数里；服务端用预先约定好的密钥解密后验证身份。
注意：密钥绝对不能硬编码在客户端或服务端代码里，要通过加密的配置文件或安全密钥管理工具分发；另外要加入时间戳和随机数，防止攻击者重放加密后的请求。辅助安全措施
- 配置IP白名单：在WebService服务器上限制只允许指定的客户端IP访问，缩小攻击面；
- 请求频率限制：设置单位时间内的最大请求次数，防止暴力破解凭证；
- 定期轮换凭证：如果必须使用用户名密码，定期更新密码，降低泄露后的风险。
另外补充一句：把凭证哈希后放到NetworkCredential里其实意义不大——比如基本认证会把NetworkCredential里的用户名密码做Base64编码（不是哈希）放到请求头，如果你把哈希值当密码存，攻击者拿到哈希值后照样可以用它来认证，本质上和明文密码没区别，反而增加了不必要的复杂度。
内容的提问来源于stack exchange，提问作者Farshad
