WCF安全之customBinding
本文是关于WCF安全的一个完整示例，WCF宿主选用IIS，并通过添加“启用Silverlight功能的WCF服务”的方式建立WCF服务。
WCF服务的绑定方式采用Visual Studio 2008默认的customBinding，安全模式选用Transport安全模式（httpsTransport），身份验证模式则选用UserNameOverTransport。
本示例的客户端为Silverlight，并在访问WCF服务时使用了Visual Studio 2008自动生成的代理类。
测试用服务类：
using System; using System.Linq; using System.Runtime.Serialization; using System.ServiceModel; using System.ServiceModel.Activation; using System.Collections.Generic; using System.Text; namespace SecSample.Web { [ServiceContract(Namespace = "")] [AspNetCompatibilityRequirements(RequirementsMode = AspNetCompatibilityRequirementsMode.Allowed)] public class WeatherService { [OperationContract] public string GetWeather() { return "Sunny"; } } }
1、配置IIS
1.1 生成证书
可以使用Makecert.exe工具生成一个测试用的证书，命令如下：
makecert -sr localmachine -ss My -n CN=localhost -sky exchange -pe -r
其中cn=localhost，表示证书的名称为localhost。
本环节需要注意的问题是：
a. 证书名称必须与访问WCF服务所用的域名或机器名一致，否则用IE访问时会出现如下警告
用WCF客户端访问时则会导致“无法为 SSL/TLS 安全通道与颁发机构“XXXX”建立信任关系。”的错误。
该限制的直接后果就是造成无法通过不同域名或IP地址访问同一个网站（比如用localhost或192.168.1.8访问本机），暂未找到生成多域名证书的方法，正在郁闷中，如有高手知道解决措施，望不吝赐教。
b. 以上命令行生成的证书存储在“个人”证书中，需要导入到“受信任的根证书颁发机构”或“受信任的发布者”中。
1.2 为IIS配置绑定
编辑网站绑定，添加https类型，并指定SSL证书。如下图：
2、服务端配置
Web.config文件中system.serviceModel节的代码如下：
<system.serviceModel> <behaviors> <serviceBehaviors> <behavior name="defaultServiceBehavior"> <serviceMetadata httpGetEnabled="false" httpsGetEnabled="true" /> <serviceDebug includeExceptionDetailInFaults="false" /> <serviceCredentials> <userNameAuthentication userNamePasswordValidationMode="Custom" customUserNamePasswordValidatorType="SecSample.Web.CustomUserNameValidator,SecSample.Web" /> </serviceCredentials> </behavior> </serviceBehaviors> </behaviors> <bindings> <customBinding> <binding name="defaultCustomBinding"> <binaryMessageEncoding /> <security authenticationMode="UserNameOverTransport"/> <httpsTransport/> </binding> </customBinding> </bindings> <serviceHostingEnvironment aspNetCompatibilityEnabled="true" /> <services> <service behaviorConfiguration="defaultServiceBehavior" name="SecSample.Web.WeatherService"> <endpoint address="" binding="customBinding" bindingConfiguration="defaultCustomBinding" contract="SecSample.Web.WeatherService" /> <endpoint address="mex" binding="mexHttpBinding" contract="IMetadataExchange" /> </service> </services> </system.serviceModel>
serviceBehaviors节中命名为defaultServiceBehavior的behavior设置了如下内容：
a. 允许https协议获取元数据
b. userNamePasswordValidationMode选用Custom，验证类为继承自UserNamePasswordValidator类的CustomUserNameValidator类，CustomUserNameValidator类的完整源代码如下：
using System; using System.Collections.Generic; using System.IdentityModel.Selectors; using System.Linq; using System.ServiceModel; using System.Web; namespace SecSample.Web { public class CustomUserNameValidator : UserNamePasswordValidator { public override void Validate(string userName, string password) { if (userName == "admin" && password == "123456") return; throw new ApplicationException("验证失败！"); } } }
customBinding节中命名为defaultCustomBinding的binding设置了customBinding所选用的编码方式（binaryMessageEncoding）、安全验证模式（UserNameOverTransport）及传输协议（httpsTransport）。
3、客户端配置
客户端ServiceReferences.ClientConfig文件的完整代码如下：
<configuration> <system.serviceModel> <bindings> <customBinding> <binding name="defaultCustomBinding"> <binaryMessageEncoding /> <security authenticationMode="UserNameOverTransport" /> <httpsTransport /> </binding> </customBinding> </bindings> <client> <endpoint address="../WeatherService.svc" binding="customBinding" bindingConfiguration="defaultCustomBinding" contract="WeatherServiceRef.WeatherService" name="CustomBinding_WeatherService" /> </client> </system.serviceModel> </configuration>
由于Silverlight及WCF使用同一个网站承载并假定相对位置固定，客户端终结点使用了相对地址“../WeatherService.svc”
以避免更换域名造成的问题（可惜证书与域名绑定的问题避免不了），customBinding节中则作了与服务器端对应的配置。
4、客户端示例页面
MainPage.xaml文件：
<UserControl x:Class="SecSample.MainPage" xmlns="http://schemas.microsoft.com/winfx/2006/xaml/presentation" xmlns:x="http://schemas.microsoft.com/winfx/2006/xaml" xmlns:d="http://schemas.microsoft.com/expression/blend/2008" xmlns:mc="http://schemas.openxmlformats.org/markup-compatibility/2006" mc:Ignorable="d" d:DesignWidth="640" d:DesignHeight="480"> <Grid x:Name="LayoutRoot"> <Button Name="btnGet" Content="GetWeather" Click="GetWeather" HorizontalAlignment="Center" VerticalAlignment="Center"></Button> </Grid> </UserControl>
MainPage.xaml.cs文件：
using System; using System.Collections.Generic; using System.Linq; using System.Net; using System.Windows; using System.Windows.Controls; using System.Windows.Documents; using System.Windows.Input; using System.Windows.Media; using System.Windows.Media.Animation; using System.Windows.Shapes; using SecSample.WeatherServiceRef; namespace SecSample { public partial class MainPage : UserControl { public MainPage() { InitializeComponent(); _client = new SecSample.WeatherServiceRef.WeatherServiceClient(); _client.ClientCredentials.UserName.UserName = "admin"; _client.ClientCredentials.UserName.Password = "123456"; _client.GetWeatherCompleted += new EventHandler<GetWeatherCompletedEventArgs>(_client_GetWeatherCompleted); } private WeatherServiceClient _client; private void GetWeather(object sender, RoutedEventArgs e) { this._client.GetWeatherAsync(); this.btnGet.IsEnabled = false; } void _client_GetWeatherCompleted(object sender, GetWeatherCompletedEventArgs e) { this.btnGet.IsEnabled = true; if (e.Error == null) { MessageBox.Show(e.Result); } else { MessageBox.Show(e.Error.Message); } } } }
示例页面非常简单，添加一个按钮并在按钮单击时调用WCF服务，调用成功时显示调用结果，否则显示错误信息。
需注意的是客户端代理类的初始化，在服务器端要求UserNameOverTransport验证后，需要为客户端代理类指定UserName及Password。
至此，整个示例就完成了。运行效果图如下：
但如果用另一个机器访问该服务，会可能会出现如下警告：
这是由于我们使用的只是自己生成的测试用证书，而该证书并没有受到客户机的信任。如果只是测试或企业内部使用，客户端将该证书安装到受信任区域即可，如果是正式对外提供服务，则可能需要向相关机构申请正式证书。
示例测试环境：
操作系统：Windows7
开发环境：Visual Studio 2008 + Silverlight 3
IIS：7.5
浏览器：IE8
