在安全性要求不是很高的asp.net程序中，基于forms的身份验证是经常使用的一种方式，而如果需要对webservice进行身份验证，最常用的可能是基于soap 标头的自定义身份验证方式。如果对两者做一下比较的话，显然，基于forms的验证方式更加方便易用，能否将forms验证方式应用到webservice中去呢？
从理论上讲，使用基于forms的方式对webservice进行身份验证是可行的，但是使用过程中会存在以下两个问题：
1.基于forms的验证方式同时也是基于cookie的验证方式，在使用浏览器时，这个问题是不需要我们考虑的。但对于使用webservice的应用程序来说，默认是不能保存cookie的，需要我们自己去做这个工作。
2.webservice既然是一个a2a(application to application)应用程序，使用web表单进行身份验证显然不太合适，而且，这将不可避免的造成人机交互，使webservice的应用大打折扣。
接下来，我们就分步解决这两个问题：
1.cookie的保存问题
webservice的客户端代理类有一个属性cookiecontainer可用于设置或获取cookie集合，保存cookie的任务就交给他了：
system.net.cookiecontainer cookiecontainer = new system.net.cookiecontainer();
myservice.webservice service = new app.myservice.webservice();
service.cookiecontainer = cookiecontainer;
2.我们不想使用web表单进行身份验证，幸运的是，asp.net表单验证中的表单页（即web.config文件中 forms 元素内的loginurl）同样可以指定为webservice文件。
我们创建一个专门用作身份验证的web服务，暂且命名为login.asmx，然后让 loginurl 等于 “login.asmx”，当然，还需要在web.config文件中的 authorization 节中禁止匿名访问（否则我们可就白忙活了），完成配置后的web.config文件如下：
<?xml version="1.0" encoding="utf-8"?>
<configuration>
<system.web>
<compilation debug="false" />
<authentication mode="forms">
<forms name="myservice" loginurl="login.asmx"></forms>
</authentication>
<authorization >
<deny users="?"/>
</authorization>
</system.web>
</configuration>
其实我们并不想在未通过身份验证时让浏览器转向到login.asmx，对于使用webservice的客户程序来说，真正的实惠在于：可以匿名访问login.asmx中的方法（当然我们也可以把login.asmx放在单独的目录中，然后允许对该目录的匿名访问来达个这个目的，但我觉得还是用loginurl更优雅一些）。
接下来，我们为login.asmx添加用于身份验证的webmethod：
[webmethod]
public bool check(string username,string password)
{
if (username == "aaaaaa" && password == "123456")//添加验证逻辑
{
system.web.security.formsauthentication.setauthcookie(username, false);
return true;
}
else
{
return false;
}
}
最后一步工作就是：让客户程序中的webservice实例与login实例共享cookiecontainer。
class sample
{
system.net.cookiecontainer cookiecontainer = new system.net.cookiecontainer();
public void login()
{
myservicelogin.login login = new app.myservicelogin.login();
login.cookiecontainer = cookiecontainer;
login.check("aaaaaa", "123456");
}
public void showhelloworld()
{
myservice.webservice service = new app.myservice.webservice();
service.cookiecontainer = cookiecontainer;
console.writeline(service.helloworld());
}
}
login()以后再showhelloworld()，你是否看到了我们熟悉的“hello world”？ok，就这么简单！
http://www.cnblogs.com/chinadhf/archive/2006/10/08/520975.html
