对 wcf 的安全机制传输安全的疑惑求教

在MSDN中对消息安全有如下的论述：
参见：http://msdn.microsoft.com/zh-cn/library/ms733137.aspx

使用消息安全的原因
--------------------------------------------------------------------------------

在消息级安全中，所有安全信息均封装在消息中。 使用消息级安全（而非传输级安全）保护消息具有以下优点：

端对端安全。 传输安全（如安全套接字层 (SSL)）仅在通信是点对点时保护消息。 如果消息在到达最终接收方之前要路由到一个或多个 SOAP 中介（例如，路由器），则一旦中介从网络上读取消息，消息本身将不会受到保护。 此外，客户端身份验证信息仅对第一个中介可用，而且必须以带外方式重新传输到最终接收方（如果需要）。 即使整个路由在单个跃点之间使用 SSL 安全也是如此。 因为消息安全直接作用于消息并保护其中的 XML，所以无论消息在到达最终接收方之前涉及到多少中介，消息总能保持安全。 这可以实现真正的端对端安全方案。

传输安全具有以下缺点：

仅支持跃点到跃点。

有限且不可扩展的凭据集。

依赖于传输。

------------------------------------
对于以上信息的理解本人，并不是很清晰，意思是作为传输安全的使用场景，只能是客户机与服务器之间必须是直连，中间不能有任何的路由器进行转发是这个意思吗？求教各位大侠。文中描述的到底是社么意思。如果是这样那传输安全那不是没有任何意义，因为客户机与服务器之间在正常的部署环境里，至少也要经过一个路由器吧。

 

我也学习了Artech有关WCF安全的文章 ，在这里感谢金大侠的无私奉献

参见http://www.cnblogs.com/artech/archive/2011/05/22/2053619.html

在评论中也有和我一样疑惑的评论

 

 

#35楼[楼主] 2011-05-25 13:27 Artech

引用

xiejinke：Artech,你好，向你请教下哈，你说的Transport安全模式只能提供点到点（point-to-point）的安全保障，我不太明白“点到点”这个概念，点到点指的是客户端与服务端只能直接相连，两者之间不能有多个路由器进行转发么？

安全传输（如安全套接字层 (SSL)）仅在通信是点对点时适用。如果消息在到达最终接收方之前要路由到一个或多个 SOAP 中介，则一旦中介从网络上读取消息，消息本身将不会受到保护。此外，客户端身份验证信息仅对第一个中介可用，而且必须以带外（Out of Band）方式传输到最终接收方（如果需要）。即使整个路由在单个跃点之间使用 SSL 安全也是如此。因为消息安全直接作用于消息并保护其中的 XML，所以无论消息在到达最终接收方之前涉及到多少中介，消息总能保持安全。这可以实现真正的端对端安全方案。

-------------------------------------------------------------------------------------------------------------------------------

金大侠的解释 也跟MSDN相似。但感觉总不是很清楚。求教各位侠客仙人，WCF的传输安全机制是不是不能跨路由器，如果是，那么这种传输机制还有啥意义？

 

“带外（Out of Band）方式传输到最终接收方（如果需要）” 另外这句话要怎么理解