在Web服务中使用OpenID:验证的最佳方法?

我正在寻找一些关于对我的Web服务进行身份验证的最佳方法的指导。现在,我在.NET 3.5上有一个标准的WebService,在这个WebService之上有一个MVC网站。

MVC网站使用OpenID对用户进行身份验证,在开发阶段,我们只是将用户的OpenID声明标识符传递给WebService进行身份验证。显然,这并不是我们在上线时向客户发布的内容。

所以我的问题是: 对WebService进行身份验证的最佳方法是什么?

我使用的一些API使用身份验证令牌。我们的另一个想法是,在连接到Web服务时,向客户机传递一个加密密钥,他们可以使用该密钥进行所有传输。

我在这里想得很清楚,再次感谢您的帮助!谢谢!

…

更新:现在我已经创建了一个自定义的soapauthenticationHeader,它具有openidurl属性。这用于所有服务调用,以对用户进行身份验证。问题有两个方面:

1. 如果黑客知道是用户的openidurl,他们可以很容易地访问Web服务。
2. OpenIDURL当前以纯文本形式传递。

因此,我可以在连接到Web服务时将加密密钥传递给客户机,并让客户机在soapauthentication头中加密openidurl。但我不知道该怎么做…