.NET 4.8 WCF客户端如何避免.svc端点被Azure WAF检测拦截？

我有一个运行在.NET Framework 4.8上的WCF客户端应用，已通过消息检查器（IClientMessageInspector）实现自定义请求头，以此规避WAF（Web应用防火墙）检测。相关代码如下：

public object BeforeSendRequest(ref Message request, IClientChannel channel)
{
    HttpRequestMessageProperty httpRequestMessage;
 
    if (request.Properties.ContainsKey(HttpRequestMessageProperty.Name))
    {
        httpRequestMessage = (HttpRequestMessageProperty)request.Properties[HttpRequestMessageProperty.Name];
    }
    else
    {
        httpRequestMessage = new HttpRequestMessageProperty();
        request.Properties.Add(HttpRequestMessageProperty.Name, httpRequestMessage);
    }
 
    // Add custom headers
    string clrVersion = Environment.Version.ToString();
    string osVersion = Environment.OSVersion.Version.ToString();
 
    httpRequestMessage.Headers["User-Agent"] = $"MYAPP/1.0 (.NET CLR {clrVersion}; Windows NT {osVersion})";
    httpRequestMessage.Headers["Accept"] = "application/json";
 
    return null;
}

但目前WAF仍会检测到.svc端点并将其拦截，我需要实现.svc请求或端点不被WAF检测、标记，且在Azure WAF防火墙日志中不出现.svc端点记录，恳请提供相关解决建议！

1. 配置反向代理隐藏.svc端点 #

在WCF客户端和目标服务之间添加反向代理（如Azure Application Gateway或Nginx），将客户端请求的非.svc路径转发到实际的.svc端点：

• 客户端请求路径改为/api/MyService这类无.svc后缀的地址
• 代理将该路径转发到后端的/MyService.svc
  这样WAF只会看到/api/MyService路径，不会记录.svc相关内容。

2. 修改WCF服务的URL路由规则 #

在WCF服务端配置路由，将无.svc后缀的路径映射到服务：

• 利用ASP.NET路由（RouteTable）或者WCF的WebHttpBinding路由功能，配置路由规则，比如将/MyService映射到/MyService.svc
• 客户端直接请求/MyService，避免在URL中出现.svc后缀

3. 使用URL重写隐藏.svc后缀 #

在服务端部署IIS URL重写模块，创建重写规则：

• 规则匹配无.svc的请求路径，内部重写到对应的.svc端点
• 示例重写规则（web.config中配置）：

<rewrite>
  <rules>
    <rule name="HideSvcExtension" stopProcessing="true">
      <match url="^MyService$" />
      <action type="Rewrite" url="MyService.svc" />
    </rule>
  </rules>
</rewrite>

客户端请求/MyService即可，WAF只会看到这个路径，不会触发.svc相关的拦截规则。

4. 调整Azure WAF的规则排除（仅适用于无法修改路径场景） #

如果无法修改请求路径，可以在Azure WAF中配置规则排除项：

• 先通过WAF日志确认拦截请求的具体规则ID
• 针对目标服务域名，添加规则排除，让包含.svc路径的请求跳过对应拦截规则
• 注意：这种方式仍会在WAF日志中记录.svc路径，只是不会拦截。

5. 客户端请求URL替换（需服务端兼容） #

如果服务端支持，在客户端修改请求的URL，替换.svc后缀后再发送：

• 在BeforeSendRequest方法中添加URL修改逻辑：

public object BeforeSendRequest(ref Message request, IClientChannel channel)
{
    // 保留原有请求头设置代码...
    
    // 修改请求URL，替换.svc为自定义后缀
    string originalUri = request.Headers.To.ToString();
    string modifiedUri = originalUri.Replace(".svc", ".api");
    request.Headers.To = new Uri(modifiedUri);
    
    return null;
}

• 服务端需要配置对应的路由或重写规则，将.api路径映射回.svc端点。

内容的提问来源于stack exchange，提问作者Kabildev