本文摘自 http://www.cnblogs.com/virusswb/archive/2010/01/26/1656543.html

在昨天的博文Silverlight3+wcf+在不使用证书的情况下自定义用户名密码验证 中提到了，我想实现的安全效果，就是客户端访问的时候不需要https，也不需要安装证书（商业证书客户端会自动信任），但是暴露的wcf接口不是每个人可以调用的，因为sl+wcf只支持basicHttpBinding一种绑定，在这种绑定下面其实是可以不适用传输安全，然后消息安全选择username，就是我想要的效果，但是到目前为止我都没有试验成功，有哪位成功了，可以给我一些提示，在此先谢谢了！

昨天我也有想，要是实验不成功，我就自己在参数中加上用户名密码，在wcf端进行自己的验证（根据数据库信息)，当然了，传输的用户名和密码要加密，然后在wcf端解密，算法使用.NET类库（这方面可以参看：加密技术、密钥和证书  ）中的就可以了，如果自己有兴趣或者又需要加入自己的算法也可以。

今天我又在google上面搜索，MSDN论坛中找帖子，中文的，英文的，都看看，有没有我想要的效果，目前没有结果。但是找到了下面的一篇文章，可惜打不开，只能看看快照，给了我更多的提醒，同时感觉自己的联想性真是还不行啊，想的就那么一点点，联系性也不行，相关知识无法联系使用。他里面也提到了我的上面一段的想法。

原文代码下载：/Files/virusswb/SL_Secure_WCF.rar

总结起来，他提到的验证有四种：

1、  无验证

2、通过参数验证，就是在wcf方法的参数中添加两个参数，username和password

3、通过信息头部验证，将验证的用户信息存储在信息的header中，然后再wcf端取出来进行验证

4、还是通过信息头部验证，但是，是在方法上添加attibute，利用特性进行验证，否则每次的方法中都要进行验证，加载特性中，只需要针对特性进行编码，在特性中进行验证。

--------------------------------------------------------------------------------------------------------------------------------

上面提供的源码运行起来有问题。于是，我将他们的源码重新再写一次。并修改了几处BUG 运行没有问题，有需要的人拿去吧。