[WCF安全3]使用wsHttpBinding构建基于SSL与UserName授权的WCF应用程序

      上一篇文章中介绍了如何使用wsHttpBinding构建UserName授权的WCF应用程序，本文将为您介绍如何使用wsHttpBinding构建基于SSL的UserName安全授权的WCF应用程序。

　　与上篇文章一样，同样将该示例分为服务端与客户端介绍。

　　1. 服务端

　　(1) 实现CustomUserNameValidator

　　首先实现CustomUserNameValidator，如何创建CustomUserNameValidator请参见第一篇与第二篇文章。

public class CustomUserNameValidator : UserNamePasswordValidator
{
　　private const string USERNAME_ELEMENT_NAME = "userName";

   private const string PASSWORD_ELEMENT_NAME = "password";

   private const string FAULT_EXCEPTION_MESSAGE = "UserName or Password is incorrect!";

   public override void Validate(string userName, string password)
   {
   　　Guarder.Guard.ArgumentNotNull(userName)
                .ArgumentNotNull(password);
      var validateUserName = ConfigurationManager.AppSettings[USERNAME_ELEMENT_NAME];
      var validatePassword = ConfigurationManager.AppSettings[PASSWORD_ELEMENT_NAME];
      var validateCondition = userName.Equals(validateUserName) && password.Equals(validatePassword);
      if (!validateCondition)
      {
      　　throw new FaultException(FAULT_EXCEPTION_MESSAGE);
      }
　　}
}

　　(2) 注册服务端证书

　　与上篇文章中一样，首先需要向currentUser或localMachine中注册一个X509证书。

makecert.exe -sr CurrentUser -ss My -a sha1 -n CN=ServerCert -sky exchange –pe

　　(3) 完成服务端配置文件

<?xml version="1.0" encoding="utf-8" ?>
<configuration>
  <startup>
    <supportedRuntime version="v4.0" sku=".NETFramework,Version=v4.5" />
  </startup>
  <appSettings>
    <add key="username" value="username"/>
    <add key="password" value="password"/>
  </appSettings>
  <system.serviceModel>
    <behaviors>
      <serviceBehaviors>
        <behavior name="securityBehavior">
          <serviceMetadata httpGetEnabled="true" httpsGetEnabled="true" />
          <serviceDebug includeExceptionDetailInFaults="true" />
          <serviceCredentials>
            <serviceCertificate
              findValue="ServerCert"
              x509FindType="FindBySubjectName"
              storeLocation="CurrentUser"
              storeName="My"/>
            <userNameAuthentication
              userNamePasswordValidationMode="Custom"
              customUserNamePasswordValidatorType="TimeSynchronizeHttpsServer.CustomUserNameValidator,TimeSynchronizeHttpsServer"/>
          </serviceCredentials>
        </behavior>
      </serviceBehaviors>
    </behaviors>
    <bindings>
      <wsHttpBinding>
        <binding name="securityMessageBinding">
          <security mode="TransportWithMessageCredential">
            <transport clientCredentialType="Basic"/>
            <message clientCredentialType="UserName"/>
          </security>
        </binding>
      </wsHttpBinding>
    </bindings>
    <services>
      <service name="TimeSynchronizeHttpsServer.TimeSynchronizeService" behaviorConfiguration="securityBehavior">
        <endpoint address="https://127.0.0.1:12218/TimeSynchronize"
                  binding="wsHttpBinding"  bindingConfiguration="securityMessageBinding"
                  contract="TimeSynchronizeHttpsServer.ITimeSynchronizeService">
          <identity>
            <dns value="localhost" />
          </identity>
        </endpoint>
        <endpoint address="mex" binding="mexHttpBinding" contract="IMetadataExchange" />
        <host>
          <baseAddresses>
            <add baseAddress="http://localhost:8733/Design_Time_Addresses/TimeSynchonizeHttpsServer/TimeSynchronizeService/" />
          </baseAddresses>
        </host>
      </service>
    </services>
  </system.serviceModel>
</configuration>

　　其中serviceCredentials节点中添加了serviceCertificate节点，该节点用来指定使用的证书。findValue，此attribute指定的是(2)中命令行中CN=右侧的字符。userNameAuthentication制定了自定义的Validator。binding节点中使用了wsHttpBinding，并将传输的加密方式指定为TransportWithMessageCredential，并制定Message的授权方式为UserName，Transport的授权方式为Basic。endpoint的地址需要使用https协议作为基地址的头部。

　　(4) 将服务端应用程序绑定到SSL证书上

　　如果你的WCF的承载方式为self-host(所谓self-host方式，指将WCF服务host在一个windows外壳中，包括winform、wpf、windowService。这种方式是相对于IIS承载来说的，IIS承载方式网上介绍的例子已经很多了，这篇文章主要介绍self-host方式。)，需要手动将你的外壳程序绑定到SSL证书上。

　　首先需要使用(2)中的方式在LocalMachine中建立一个证书，注意，一定是LocalMachine中。然后，使用下面的命令行代码，将你的服务端外壳程序绑定到SSL证书上。

netsh http add sslcert ipport=0.0.0.0:12218 certhash=1dca86867481b22c8f15a134df62af649cc3343a clientcertnegotiation=enable appid={02639d71-0935-35e8-9d1b-9dd1a2a34627}

　　其中，ipport的值中的0.0.0.0代表本地地址，冒号后面代表端口；certhash的值为证书的thumbPrint值，怎么找到这个值呢？follow this article吧，哈哈，英文的，z正好提高一下你的英语水平，哈哈。appid中的值是程序的guid，在项目属性的assemblyInfo中可以找到。

　　2. 客户端

　　(1) 实现CertificateValidator

　　这个是在第二篇文章中没有的，这个Validator干啥用的呢。这个东西是因为我们的证书都是自己颁发给给自己的，所以在安全性上存在一些问题，如果我们用根证书颁发机构颁发的证书，让这个Validator见鬼去吧，哈哈。

class CertificateValidator
{
　　public static void SetCertificatePolicy ( )
　　{
　　　　ServicePointManager.ServerCertificateValidationCallback
                       += RemoteCertificateValidate;
　　}
　　private static bool RemoteCertificateValidate ( object sender, X509Certificate cert, X509Chain chain, SslPolicyErrors error )
　　{
　　　　System.Console.WriteLine ( "Warning, trust any certificate" );
   　　return true;
　　}
}

　　在客户端调用代码时，调用客户端的Contract之前，调用CertificateValidator.SetCertificatePolicy()方法。

　　(2) 完成客户端配置文件

<?xml version="1.0" encoding="utf-8" ?>
<configuration>
  <startup>
    <supportedRuntime version="v4.0" sku=".NETFramework,Version=v4.5" />
  </startup>
  <appSettings>
    <add key="username" value="username"/>
    <add key="password" value="password"/>
  </appSettings>
  <system.serviceModel>
    <bindings>
      <wsHttpBinding>
        <binding name="securityMixedBinding">
          <security mode="TransportWithMessageCredential">
            <transport clientCredentialType="Basic"/>
            <message clientCredentialType="UserName"/>
          </security>
        </binding>
      </wsHttpBinding>
    </bindings>
    <client>
      <endpoint address="https://127.0.0.1:12218/TimeSynchronize"
                binding="wsHttpBinding" bindingConfiguration="securityMixedBinding"
                contract="ITimeSynchronizeService" 
                name="DefaultBinding_ITimeSynchronizeService_ITimeSynchronizeService" />
    </client>
  </system.serviceModel>
</configuration>

　　需要注意的是，binding节点需要与服务端配置文件中的binding配置相同。endpoint的地址与service相同，都要采用https基地址。

　　(3) 实现客户端调用代码

private const string USERNAME = "userName";
private const string PASSWORD = "password";

static void Main ( string[] args )
{
　　var proxy = new TimeSynchronizeServiceClient ( );
    var userName = ConfigurationManager.AppSettings[USERNAME];
    var password = ConfigurationManager.AppSettings[PASSWORD];
    proxy.ClientCredentials.UserName.UserName = userName;
    proxy.ClientCredentials.UserName.Password = password;
    CertificateValidator.SetCertificatePolicy ( );
    var time = proxy.GetTime ( );
    var builder = new StringBuilder ( );
    builder.Append ( "Server time is:" ).Append ( " " ).Append ( time );
    var message = builder.ToString ( );
    Console.WriteLine ( message );
    Console.ReadKey ( );
}

　　在调用客户端的Contract之前，需要调用CertificateValidator.SetCertificatePolicy()方法。

　　OK，打完收工。