如何将 WCF 配置为仅签署时间戳标头

Question

我正在尝试配置我的 WCF 客户端以创建包含 WS-Addressing、WS-Security 和 TLS 的 SOAP 1.1 请求。

安全要求是消息包含用户名令牌、时间戳，并且时间戳是使用包含的 BinarySecurityToken 进行签名的。

我已使用以下链接中的示例来创建我的 WCF 客户端绑定。我稍微修改了示例（见下文），以便使用 HTTPS 作为传输机制，并且 MessageSecurity 基于 UsernameOverTransport。

            HttpsTransportBindingElement httpsTransport = new HttpsTransportBindingElement();            
        // the message security binding element will be configured to require 2 tokens:
        // 1) A username-password encrypted with the service token
        // 2) A client certificate used to sign the message

        // Instantiate a binding element that will require the username/password token in the message (encrypted with the server cert)
        TransportSecurityBindingElement messageSecurity = SecurityBindingElement.CreateUserNameOverTransportBindingElement();

        // Create supporting token parameters for the client X509 certificate.
        X509SecurityTokenParameters clientX509SupportingTokenParameters = new X509SecurityTokenParameters();
        // Specify that the supporting token is passed in message send by the client to the service
        clientX509SupportingTokenParameters.InclusionMode = SecurityTokenInclusionMode.AlwaysToRecipient;
        // Turn off derived keys
        clientX509SupportingTokenParameters.RequireDerivedKeys = false;
        // Augment the binding element to require the client's X509 certificate as an endorsing token in the message
        messageSecurity.EndpointSupportingTokenParameters.Endorsing.Add(clientX509SupportingTokenParameters);

        // Create a CustomBinding based on the constructed security binding element.
        return new CustomBinding(messageSecurity, httpsTransport);

该客户端生成的 SOAP 消息非常接近满足我正在调用的服务的要求，唯一的问题是 wsa:To 地址以及时间戳地址都已签名。

有没有办法准确指定哪些 WCF 标头已签名？因为我需要限制客户端仅签署时间戳标头。

Answer 1

使用自定义消息标头，您可以执行以下操作：

//... rest of MessageContract

[MessageHeader(ProtectionLevel = ProtectionLevel.Sign)]
string MyCustomHeader;

//... rest of MessageContract

但我不认为这适合您的情况，因为您尝试签署由自定义绑定插入的肥皂标头。要修改这些标头，您可能需要实现 IClientMessageInspector 接口 和将自定义行为添加到客户端配置以对时间戳标头进行签名。不确定如何访问证书来进行签名，但是这可能会给你一个很好的帮助开始。

Answer 2

我知道这是一个老问题，但我已经被问过几次了。

我设法通过将 messageVersion 指定为 Soap11 而不是 Soap11WSAddressing10 来实现此目的，然后手动添加 WS-Addressing 标头，从而避免了手动实现签名机制的需要。