WCF 证书自定义验证 - 向客户端发送异常消息

Question

我有一个简单的 WCF 服务，配置了传输安全性和证书客户端凭据。 我将一个自定义证书验证器插入其中，并抛出一个FaultException。 我的问题是 esception 消息未到达客户端：我只收到 MessageSecurityException，没有任何错误... 如果我将我的服务转入 net.tcp（自托管），我会收到 CommunicationExcetion，也没有故障。

这是我的 web.config 的一部分：

<system.serviceModel>
    <bindings>
      <wsHttpBinding>
        <binding name="wsHttpEndpointBinding" messageEncoding="Text">
          <reliableSession enabled="false" />
          <security mode="Transport">
            <transport clientCredentialType="Certificate" />
          </security>
        </binding>
      </wsHttpBinding>
    </bindings>
    <services>
      <service name="SecureService.Server.ChunkStreamService">
        <endpoint binding="wsHttpBinding" bindingConfiguration="wsHttpEndpointBinding" behaviorConfiguration="myBehavior" name="wsHttpEndPoint" contract="SecureService.Server.IChunkStreamService" />
      </service>
    </services>
    <behaviors>
      <serviceBehaviors>
        <behavior name="myBehavior">
          <serviceMetadata httpGetEnabled="false" httpsGetEnabled="false" />
          <serviceDebug includeExceptionDetailInFaults="true" />
          <serviceCredentials>
            <clientCertificate>
              <authentication  customCertificateValidatorType="SecureService.Server.CPSValidator, SecureService.Server" certificateValidationMode="Custom" />
            </clientCertificate>
          </serviceCredentials>
        </behavior>
      </serviceBehaviors>
    </behaviors>
  </system.serviceModel>

和我的验证器：

    public class CPSValidator : System.IdentityModel.Selectors.X509CertificateValidator
  {
    public override void Validate(System.Security.Cryptography.X509Certificates.X509Certificate2 certificate)
    {
       throw new FaultException("Certificate is not from a trusted issuer");
    }
  }

有什么想法吗？

预先感谢您的任何帮助！

Answer 1

据我所知，您在验证器中抛出的任何异常都不会到达客户端。客户端总是收到 MessageSecurityException。只有在服务级别（在服务实现中）发生并映射到故障契约的异常才会正确发送到客户端。

问候
巴勃罗.

Answer 2

正如 Yahia 和 Pablo 回答的那样，证书验证不会在服务级别发生。因此，FaultException 无法到达客户端。但这只是因为我使用的是传输安全模式。为了将消息发送回客户端，我必须将安全模式从 Transport 更改为 TransportWithMessageCredentials，如下所示：

<security mode="TransportWithMessageCredential">
  <transport clientCredentialType="None" proxyCredentialType="None" realm="" />
  <message clientCredentialType="Certificate" negotiateServiceCredential="true" algorithmSuite="Default" />
</security>

这样，证书验证是在服务级别完成的，以便可以通过错误异常将错误消息发送到客户端。

Answer 3

您是否尝试过在服务器上打开 WCF 诊断以在调用到达服务本身之前捕获 WCF 管道中的问题？

<system.diagnostics>
<sources>
  <source name="System.ServiceModel" switchValue="Verbose" propagateActivity="true">
    <listeners>
      <add name="traceListener" type="System.Diagnostics.XmlWriterTraceListener" initializeData="log.evtlog"  />
    </listeners>
  </source>
</sources>
<trace autoflush="true"/>