在经过声明身份验证的 SharePoint 2010 中托管的 WCF 服务中的模拟

Question

我有一个 WCF 服务，它使用 wsHttpBinding 以及消息安全和 Windows 身份验证。

控制台应用程序服务客户端能够调用该服务，并且我可以看到 ServiceSecurityContext.Current.WindowsIdentity 和 Thread.CurrentPrincipal.Identity 都代表正确的用户。

正如预期的那样，当前的主体是 IClaimsIdentity。

当我尝试打开 SharePoint 网站时出现问题：我收到访问被拒绝错误，表明模拟的身份无法传递到数据库或共享点服务器。不过，这一切都在同一台机器上，因此不应该存在任何双跳身份验证问题。

这不是对索赔应用程序中托管的服务进行无头身份验证的正确方法吗？

Answer 1

我目前在支持声明的 SharePoint 2010 网站中部署了 WCF 服务。 WCF 服务并不奇特，我使用提供的 Microsoft.SharePoint.Client.Services.MultipleBaseAddressBasicHttpBindingServiceHostFactory 作为 WCF 服务工厂。因此，我使用工厂提供的开箱即用的 BasicHttpBinding。

我的客户端 app.config 如下所示：

<configuration>
  <system.serviceModel>
    <bindings>
      <binding name="BasicHttpBinding_MyServices" closeTimeout="00:01:00"
        openTimeout="00:01:00" receiveTimeout="00:10:00" sendTimeout="00:01:00"
        allowCookies="false" bypassProxyOnLocal="false" hostNameComparisonMode="StrongWildcard"
        maxBufferSize="200524288" maxBufferPoolSize="200524288" maxReceivedMessageSize="200524288"
        messageEncoding="Text" textEncoding="utf-8" transferMode="Buffered"
        useDefaultWebProxy="true">
        <readerQuotas maxDepth="32" maxStringContentLength="8192" maxArrayLength="16384"
          maxBytesPerRead="4096" maxNameTableCharCount="16384" />
        <security mode="TransportCredentialOnly">
          <transport clientCredentialType="Ntlm" proxyCredentialType="None" realm="" />
          <message clientCredentialType="UserName" algorithmSuite="Default" />
        </security>
      </binding>
    </bindings>
    <client>
      <endpoint address="http://localhost/_vti_bin/MyServices/MyService.svc"
        binding="basicHttpBinding" bindingConfiguration="BasicHttpBinding_MyServices"
        contract="ServiceClient.MyService.IMyService"
        name="BasicHttpBinding_IMyService" />
    </client>
  </system.serviceModel>
</configuration>

当查看我的 Thread.CurrentPrincipal.Identity 时，它是正确的。它是我当前执行用户的 ClaimsIdentity。然后，我可以简单地打开一个新的 SPSite 实例，而无需创建或使用 SPUserToken。

需要注意的一件关键事情是：在连接到 WCF 服务之前，我不会冒充我的身份。如果这就是您正在做的事情，那么除非您的 SharePoint 服务器与您的声明提供者建立了信任，否则它不太可能起作用。