如何在Silverlight中隐藏WCF服务地址？

我们有使用WCF服务的silverlight应用程序。在渗透测试期间，我们发现了一些问题。建议之一是在silverlight端对WCF服务地址进行加扰/加密

---

这是一种标准做法还是有任何价值？如果服务安全，用户是否能够通过了解WCF服务位置获得任何信息。因为用户总是可以反编译silverlight xap并了解我们是如何加密WCF地址的。

在您提供的数据（例如客户端代码）中隐藏秘密是一个众所周知的难题。基本上，这就是DRM系统试图做到的，并且没有一个是防黑客的。如果你把秘密和检索该秘密的代码都给了某人，就会有人发现这个秘密。正如JeffN825所指出的，您可以始终使用有线监控工具来确定地址（HTTPS地址有点困难，但仍然有可能）。所以，我不会花太多精力去隐藏地址，这只是由于隐蔽性的安全性，只会延迟潜在的攻击者。如果该服务需要用户身份验证，我只会专注于使该部分安全。如果你试图验证应用程序，而不是用户，这是一个更加困难的问题，需要单独讨论，但地址隐藏并不能解决这个问题

其实没有什么意义……你可以使用Fiddler查找你的Silverlight应用程序正在连接的地址。如果您的服务得到了正确的保护，我想您唯一真正的风险就是DOS攻击。