UserNamePasswordValidator 是否可以抛出除 MessageSecurityException 以外的任何异常？

Question

我有一个 WCF 服务通过我的 web.config 连接到 UserNamePasswordValidator，没有问题。在我的验证器中，我重写 Validate，检查凭据并在必要时抛出FaultException。

示例：

public class CredentialValidator : UserNamePasswordValidator
{
    public override void Validate(string userName, string password)
    {
        if (userName != "dummy")
        {
            throw new FaultException<AuthenticationFault>(new AuthenticationFault(), "Invalid credentials supplied");
        }
    }
}

如果我自己在 .NET 应用程序中使用此服务并提供无效凭据，则会引发 MessageSecurityException 并显示以下消息：

“从另一方收到不安全或安全不正确的故障。请参阅内部FaultException以获取故障代码和细节。”

我所期望的FaultException 是MessageSecurityException 的InnerException。

有没有办法让客户端只收到FaultException？

MessageSecurityException 并没有特别描述异常的真正原因（快速搜索 SO 会产生各种问题，包括服务器/客户端时间）同步..），并且由于第三方将使用该服务，我想尽可能清楚。

Answer 1

几个月前我遇到了同样的问题，经过一些研究，我得出的结论是，您可以从验证器代码中抛出任何您想要的内容，但客户端仍然会收到 MessageSecurityException，其中根本不包含任何有用的信息。

然而，我们必须让客户知道到底发生了什么 -
1.用户名/密码错误
2.密码已过期，需要更改
3.其他一些自定义应用程序特定状态

因此我们更改了 CredentialValidator 逻辑，使其仅在情况 1 中抛出异常。在其他情况下，它实际上允许调用真正的 WCF 方法，但我们也会检查密码过期等如果出现一些问题，方法体中已经抛出了FaultException。

在我们的例子中，这仅适用于具有这种类型验证的服务（即登录服务）——因此客户端总是知道为什么他没有经过身份验证。

Answer 2

从自定义密码验证器中，您可以返回描述错误的错误代码：

throw new FaultException("Invalid user name or bad password.", new FaultCode("BadUserNameOrPassword"));

throw new FaultException("Password expired.", new FaultCode("PasswordExpired"));

throw new FaultException("Internal service error.", new FaultCode("InternalError"));

Answer 3

将错误作为 MessageSecurityException 抛出，并将内部异常作为FaultException 抛出

public override void Validate(string userName, string password)
{
    var isValid = ValidateUser(userName, password);
    if (!isValid)
    {
        throw new MessageSecurityException("Userid or Password is invalid", new FaultException("Userid or Password is invalid"));
    }
}