我不得不放弃基本的 WCF UserName/Pwd 安全性并实现我自己的自定义客户端凭据，以保存超出默认提供的更多信息。
我完成了这篇 MSDN 文章，但我遗漏了一些东西，因为它不起作用。
首先，我有一些提供自定义 ClientCredentialsSecurityTokenManager 的自定义 ClientCredentials：
public class CentralAuthCredentials : ClientCredentials
{
public override System.IdentityModel.Selectors.SecurityTokenManager CreateSecurityTokenManager()
{
return new CentralAuthTokenManager(this);
}
}
public class CentralAuthTokenManager : ClientCredentialsSecurityTokenManager
{
private CentralAuthCredentials credentials;
public CentralAuthTokenManager(CentralAuthCredentials creds) : base(creds)
{
this.credentials = creds;
}
public override SecurityTokenProvider CreateSecurityTokenProvider(SecurityTokenRequirement tokenRequirement)
{
if (this.IsIssuedSecurityTokenRequirement(tokenRequirement) || tokenRequirement.TokenType == CentralAuthToken.TOKEN_TYPE)
return new CentralAuthTokenProvider(credentials.UserId, credentials.UserPassword, credentials.ImpersonateId, credentials.LoginType);
else
return base.CreateSecurityTokenProvider(tokenRequirement);
}
public override SecurityTokenAuthenticator CreateSecurityTokenAuthenticator(SecurityTokenRequirement tokenRequirement, out SecurityTokenResolver outOfBandTokenResolver)
{
outOfBandTokenResolver = null;
if (this.IsIssuedSecurityTokenRequirement(tokenRequirement) || tokenRequirement.TokenType == CentralAuthToken.TOKEN_TYPE)
return new CentralAuthTokenAuthenticator();
else
return base.CreateSecurityTokenAuthenticator(tokenRequirement, out outOfBandTokenResolver);
}
public override SecurityTokenSerializer CreateSecurityTokenSerializer(SecurityTokenVersion version)
{
return new CentralAuthTokenSerializer();
}
}
现在，当我运行该应用程序时，我的自定义凭据和令牌管理器确实被创建了。但是，在方法中：
CreateSecurityTokenProvider(SecurityTokenRequirement tokenRequirement)
{
...
}
tokenRequirement.TokenType 不是我的自定义令牌。这提出了我的第一个问题：WCF 到底是如何知道令牌要求是什么？
还有，方法：
public override SecurityTokenSerializer CreateSecurityTokenSerializer(SecurityTokenVersion version)
{
return new CentralAuthTokenSerializer();
}
客户端会调用一次，但返回的令牌序列化程序上的任何方法都不会被调用。这向我表明自定义令牌永远不会通过网络发送。我认为这是因为对 CreateSecurityTokenProvider() 的调用从未返回我的自定义令牌提供程序，因为 SecurityTokenRequirement 从未传入，表明需要我的自定义令牌。
在客户端，我有：
public class CentralAuthorizationManagerClient : ClientBase<ICentralAuthorizationManager>, ICentralAuthorizationManager, IDisposable
{
public PFPrincipal GenerateToken()
{
if (!this.ChannelFactory.Endpoint.Behaviors.Contains(typeof(CentralAuthCredentials)))
throw new ArgumentException("Must set CentralAuthCredentials before calling this method.");
return base.Channel.GenerateToken();
}
public PFPrincipal GenerateToken(CentralAuthToken token)
{
this.ChannelFactory.Endpoint.Behaviors.Remove<ClientCredentials>();
this.ChannelFactory.Endpoint.Behaviors.Add(new CentralAuthCredentials(token));
return this.GenerateToken();
}
这些方法基本上应该从端点中删除默认凭据并附加我的自定义 CentralAuthCredentials 的新实例。（我从某处的 MSDN 文章中获取了这个 Remove/Add 组合）。
在配置中：
<behaviors>
<endpointBehaviors>
<behavior name="Server2ServerEndpointBehavior">
<clientCredentials type="MyApp.Security.CentralAuthCredentials, MyApp">
<clientCertificate findValue="localhost" x509FindType="FindBySubjectName" storeLocation="CurrentUser" storeName="My" />
<serviceCertificate>
<authentication certificateValidationMode="None" revocationMode="NoCheck" />
</serviceCertificate>
</clientCredentials>
</behavior>
</endpointBehaviors>
</behaviors>
<bindings>
<wsHttpBinding>
<binding name="wsHttpServer2Server">
<security mode="Message">
<message clientCredentialType="UserName" />
</security>
</binding>
</wsHttpBinding>
</bindings>
请注意，行为的 clientCredentials 类型设置为我的自定义客户端凭据。但是，目前我仍然将绑定的 clientCredentialType 设置为“UserName”。这提出了我的第二个问题：clientCredentialType=" 到底应该怎么做？" 如果我使用自定义凭据，设置为？根据 MSDN，消息安全的可用值是：None、Windows、UserName、Certificate和IssuedToken。
有任何想法吗？希望我只是缺少一些简单的东西？整个实现还有 6 个类，但我试图只包含了解情况所需的部分......
更新＃1：
我整天都在做这个，感谢一些消息来源，我意识到我缺少的部分是此页面上的最后一步，即将 TokenParameters 添加到绑定中，以便绑定知道什么令牌看起来像。这就是我最初的第一个问题的答案；“到底是什么设置了令牌要求？” 答案：分配给绑定的 TokenParameters。
所以现在我添加了以下扩展，它在绑定上设置了 TokenParameters：
public sealed class CentralAuthTokenBindingExtension : BindingElementExtensionElement
{
public CentralAuthTokenBindingExtension()
: base()
{
}
public override Type BindingElementType
{
get { return typeof(SymmetricSecurityBindingElement); }
}
protected override System.ServiceModel.Channels.BindingElement CreateBindingElement()
{
X509SecurityTokenParameters protectionParams = new X509SecurityTokenParameters();
protectionParams.InclusionMode = SecurityTokenInclusionMode.Never;
SymmetricSecurityBindingElement innerBindingElement = new SymmetricSecurityBindingElement();
innerBindingElement.EndpointSupportingTokenParameters.SignedEncrypted.Add(new CentralAuthTokenParameters());
//innerBindingElement.MessageProtectionOrder = MessageProtectionOrder.SignBeforeEncrypt;
innerBindingElement.ProtectionTokenParameters = protectionParams;
return innerBindingElement;
}
}
<extensions>
<bindingElementExtensions>
<add name="CentralAuthCreds" type="MyApp.Security.Configuration.CentralAuthTokenBindingExtension, MyApp, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
</bindingElementExtensions>
</extensions>
<bindings>
<customBinding>
<binding name="wsHttpServer2Server">
<CentralAuthCreds />
<binaryMessageEncoding />
<httpTransport />
</binding>
</customBinding>
</bindings>
好吧，这让我更进一步。现在我在服务器上得到一个新的异常：
"The security token manager cannot create a token authenticator for requirement ..."
看起来 WCF 正在使用一些默认令牌管理器来尝试处理我的自定义令牌，而不是我的自定义令牌处理程序（我的自定义令牌处理程序的构造函数从未被调用）。我认为这是因为对于客户端，我有这个配置：
<endpointBehaviors>
<behavior name="Server2ServerEndpointBehavior">
<clientCredentials type="MyApp.Security.CentralAuthCredentials, MyApp">
但是在服务器上，我没有任何等价物可以让它知道自定义客户端凭据。所以，新问题：在服务器的配置中，我应该告诉它自定义 ClientCredentials 是什么？
更新#2：
好吧，我终于想出了更多的谜题。我只实现了一个 ClientCredentials 实现，认为客户端发送凭据，仅此而已。客户端不对服务进行身份验证，因此我不需要自定义 ServiceCredentials。好吧，我错了。指定的 ServiceCredentials 对来自 ClientCredentials 的令牌进行身份验证，反之亦然。所以我只需要添加一个自定义的 ServiceCredentials 实现，它传递了相同的 TokenSerializer 和 TokenAuthenticator 类。
关于下一个问题：WCF 现在忽略了我在配置中指定的 x509 证书，这些证书与 UserName auth 一起工作正常。我将为这个问题打开一个全新的问题！