WCF BasicHttpBinding 安全解析（2）BasicHttpBinding安全项

想对BasicHttpBinding的安全性做比较全面的了解，最好的办法还是从它的安全属性看起。下面展示的所有源代码通过反编译获得，这里我们根据需要选取关键的代码来分析，先看代码清单11-73。

代码清单11-73 BasicHttpBinding定义

public class BasicHttpBinding : Binding, IBindingRuntimePreferences

        {

private HttpTransportBindingElement httpTransport;

private HttpsTransportBindingElement httpsTransport;

private TextMessageEncodingBindingElement textEncoding;

private MtomMessageEncodingBindingElement mtomEncoding;

private BasicHttpSecurity security;

public BasicHttpBinding(BasicHttpSecurityMode securityMode)

{

this.security = new BasicHttpSecurity();

this.security.Mode = securityMode;

}

private BasicHttpBinding(BasicHttpSecurity security)

{

this.security = new BasicHttpSecurity();

this.security = security;

}

        }

从代码清单11-73中，我们可以看到关键的对象为BasicHttpSecurity，在构造函数中BasicHttpBinding类对其初始化并设置securityMode。下面我们看BasicHttpSecurity的定义。

代码清单11-74 BasicHttpSecurity定义

public sealed class BasicHttpSecurity

    {

internal const BasicHttpSecurityMode DefaultMode = BasicHttpSecurityMode.None;

private BasicHttpSecurityMode mode;

private HttpTransportSecurity transportSecurity;

private BasicHttpMessageSecurity messageSecurity;

public BasicHttpSecurityMode Mode

        {

            [TargetedPatchingOptOut("Performance critical to inline this type of method across NGen image boundaries")]

get

            {

return this.mode;

            }

set

            {

if (!BasicHttpSecurityModeHelper.IsDefined(value))

                {

throw DiagnosticUtility.ExceptionUtility.ThrowHelperError(new ArgumentOutOfRangeException("value"));

                }

this.mode = value;

            }

        }

public HttpTransportSecurity Transport

        {

            [TargetedPatchingOptOut("Performance critical to inline this type of method across NGen image boundaries")]

get

            {

return this.transportSecurity;

            }

set

            {

this.transportSecurity = ((value == null) ? new HttpTransportSecurity() : value);

            }

        }

public BasicHttpMessageSecurity Message

        {

            [TargetedPatchingOptOut("Performance critical to inline this type of method across NGen image boundaries")]

get

            {

return this.messageSecurity;

            }

set

            {

this.messageSecurity = ((value == null) ? new BasicHttpMessageSecurity() : value);

            }

        }

public BasicHttpSecurity()

            : this(BasicHttpSecurityMode.None, new HttpTransportSecurity(), new BasicHttpMessageSecurity())

        {

        }

private BasicHttpSecurity(BasicHttpSecurityMode mode, HttpTransportSecurity transportSecurity, BasicHttpMessageSecurity messageSecurity)

        {

this.Mode = mode;

this.transportSecurity = ((transportSecurity == null) ? new HttpTransportSecurity() : transportSecurity);

this.messageSecurity = ((messageSecurity == null) ? new BasicHttpMessageSecurity() : messageSecurity);

        }

    }

根据代码清单11-74，我们对BasicHttpSecurity做简要的分析。首先看第一个属性——Mode。Mode是BasicHttpSecurityMode枚举值之一，表示安全类型，默认值为None。BasicHttpSecurityMode枚举共提供5种选择：

1) None：OAP 消息在传输过程中并不安全。 这是默认行为。

2) Transport：使用 HTTPS 提供安全性。 此服务必须使用 SSL 证书进行配置。 SOAP 消息是用 HTTPS 作为一个整体进行保护的。 客户端使用服务的 SSL 证书对服务进行身份验证。 通过 ClientCredentialType 可对客户端身份验证进行控制。

3) Message：使用 SOAP 消息安全提供安全性。对于BasicHttpBinding，系统要求向客户端单独提供服务器证书。此绑定的有效客户端凭据类型为UserName和Certificate。

4) TransportWithMessageCredential：完整性、保密性和服务器身份验证均由 HTTPS 提供。 此服务必须使用证书进行配置。 客户端身份验证采用SOAP消息安全方式提供。 如果要使用用户名或证书凭据对用户进行身份验证，并且存在用于保护消息传输的现有HTTPS部署，则适用此模式。

5) TransportCredentialOnly：此模式并不提供消息的完整性和保密性， 而是仅提供基于HTTP 的客户端身份验证。 使用此模式时一定要小心。 在通过其他方式（如IPSec）提供传输安全并且 基础结构只提供客户端身份验证的环境中，应该使用此模式。

可使用如代码清单11-75所示的配置方式配置安全模式。

代码清单11-75 配置安全模式

<basicHttpBinding>

        <binding name="basicBidingConf">

  <security mode="None">

          </security>

        </binding>

      </basicHttpBinding>

在代码清单11-74中我们看BasicHttpSecurity的第二个属性——Transport，该属性是HttpTransportSecurity实例。HttpTransportSecurity 类定义如代码清单11-75。

代码清单11-75 HttpTransportSecurity 类定义

public sealed class HttpTransportSecurity

{

internal const HttpClientCredentialType DefaultClientCredentialType = HttpClientCredentialType.None;

internal const HttpProxyCredentialType DefaultProxyCredentialType = HttpProxyCredentialType.None;

internal const string DefaultRealm = "";

private HttpClientCredentialType clientCredentialType;

private HttpProxyCredentialType proxyCredentialType;

private string realm;

private ExtendedProtectionPolicy extendedProtectionPolicy;

public HttpClientCredentialType ClientCredentialType；

public HttpProxyCredentialType ProxyCredentialType；

public string Realm；

public ExtendedProtectionPolicy ExtendedProtectionPolicy；

public HttpTransportSecurity()

    {

this.clientCredentialType = HttpClientCredentialType.None;

this.proxyCredentialType = HttpProxyCredentialType.None;

this.realm = "";

this.extendedProtectionPolicy = ChannelBindingUtility.DefaultPolicy;

    }

}

从代码清单11-75中我们知道HttpTransportSecurity 类包含四个属性：

1） ClientCredentialType属性。获取或设置要用于身份验证的客户端凭据的类型。默认值为HttpClientCredentialType.None。

2） ExtendedProtectionPolicy。获取或设置扩展保护策略，默认值为ChannelBindingUtility.DefaultPolicy。

3） ProxyCredentialType。获取或设置要用于针对代理进行身份验证的客户端凭据的类型。默认值为HttpProxyCredentialType.None。

4） Realm。获取或设置摘要式或基本身份验证的身份验证领域，默认值为空。

BasicHttpSecurity 类的第三个属性为BasicHttpMessageSecurity类，用来配置BasicHttpBinding的消息安全。该类定义如代码清单11-76所示。

代码清单11-76 BasicHttpMessageSecurity类定义

public sealed class BasicHttpMessageSecurity

{internal const BasicHttpMessageCredentialType DefaultClientCredentialType=BasicHttpMessageCredentialType.UserName;

private BasicHttpMessageCredentialType clientCredentialType;

private SecurityAlgorithmSuite algorithmSuite;

public BasicHttpMessageCredentialType ClientCredentialType

{get{return this.clientCredentialType;}

set{

if (!BasicHttpMessageCredentialTypeHelper.IsDefined(value))

{

throw DiagnosticUtility.ExceptionUtility.ThrowHelperError(new ArgumentOutOfRangeException("value"));}

this.clientCredentialType = value;}

}

public SecurityAlgorithmSuite AlgorithmSuite

{

get{return this.algorithmSuite;}

set

{if (value == null)

{

throw DiagnosticUtility.ExceptionUtility.ThrowHelperArgumentNull("value");}

this.algorithmSuite = value;}

}

public BasicHttpMessageSecurity()

{

this.clientCredentialType = BasicHttpMessageCredentialType.UserName;

this.algorithmSuite = SecurityAlgorithmSuite.Default;

}}

从代码清单11-76中我们可以看到BasicHttpMessageSecurity类包含两个属性：

1） AlgorithmSuite。指定要与 BasicHttpMessageSecurity 一起使用的算法组。

2） ClientCredentialType。发送安全消息指定客户端用以进行身份验证的凭据的类型。

那么在配置文件中如何配置BasicHttpSecurity呢？代码清单11-77给出了一般配置选项。

代码清单11-77 配置BasicHttpSecurity

<basicHttpBinding>

<binding

transferMode="Buffered/Streamed/StreamedRequest/StreamedResponse"

useDefaultWebProxy="Boolean"

<security mode="None/Transport/Message/TransportWithMessageCredential/TransportCredentialOnly">

<transport clientCredentialType="None/Basic/Digest/Ntlm/Windows/Certificate" proxyCredentialType="None/Basic/Digest/Ntlm/Windows"

realm="string" />

<message algorithmSuite="Basic128/Basic192/Basic256/Basic128Rsa15/Basic256Rsa15/TripleDes/TripleDesRsa15/Basic128Sha256/Basic192Sha256/TripleDesSha256/Basic128Sha256Rsa15/Basic192Sha256Rsa15/Basic256Sha256Rsa15/TripleDesSha256Rsa15"

clientCredentialType="UserName/Certificate"/>

</security>

<readerQuotas maxDepth="Integer"

maxStringContentLength="Integer"

maxByteArrayContentLength="Integer"

maxBytesPerRead="Integer"

maxNameTableCharCount="Integer" />

</binding>

</basicHttpBinding>

代码清单11-77所示的配置节中各项的含义读者可以参考BasicHttpSecurity 类的个属性进行解读，这里就不再重复了。下面我们通过实例继续探讨BasicHttpBinding的更多安全特性。