访问WCF服务状态页出现403.7错误，如何排查缺失证书？

1. 检查IIS站点与目录的SSL配置优先级 #

• 状态页目录的SSL设置可能被站点级配置覆盖：
  • 确认站点是否勾选了“要求SSL”，若站点强制要求SSL但目录未勾选，会触发证书校验逻辑冲突。
  • 检查站点的客户端证书设置是“忽略”“接受”还是“要求”，若站点设为“要求”，即使目录为“接受”，仍会强制校验客户端证书。

2. 验证客户端证书的实际传递与有效性 #

• 用curl模拟带客户端证书的请求，测试访问结果：

  curl -vk --cert /本地客户端证书路径/client-cert.pem --key /本地客户端密钥路径/client-key.pem https://目标服务器地址/状态页路径
  

  • 返回403.7则说明服务器不认可该客户端证书；能正常访问则问题出在浏览器/客户端的证书选择逻辑。
• 检查浏览器证书存储：确认客户端证书已导入，访问时浏览器是否弹出证书选择框（未弹出可能是证书不匹配或浏览器设置限制）。

3. 排查IIS客户端证书映射配置 #

• 检查IIS的1:1映射和多对一映射规则：
  • 确认异常服务器是否存在未配置完全的映射规则，或规则引用了不存在的证书。
  • 对比正常服务器的映射配置，确保异常服务器的规则完全一致。

4. 启用IIS失败请求跟踪定位细节 #

• 开启失败请求跟踪规则，捕获403.7错误的详细日志：
  1. 打开IIS管理器，选中目标站点，点击“失败请求跟踪规则”。
  2. 添加规则，设置跟踪状态码为403.7，勾选“SSL/TLS”和“WWW服务器”区域。
  3. 重新触发错误，查看生成的日志文件，里面会包含证书校验的每一步流程，可直接定位失败环节。

5. 检查WCF服务绑定的证书配置 #

• 查看服务的web.config/app.config绑定节点：
  • 确认<security>下的<transport>是否设置clientCredentialType="Certificate"，若设为None但IIS要求证书，会产生冲突。
  • 检查<clientCertificate>节点的验证模式（如PeerTrust/ChainTrust）是否与正常服务器一致。

6. 重新验证服务器端证书链完整性 #

• 即使证书存储中存在根/中级证书，仍可能出现证书链构建失败：
  • 打开服务器证书管理器，找到站点绑定的SSL证书，查看“证书路径”标签，确认所有中间证书状态为“正常”。
  • 执行certutil -verify -urlfetch 服务器证书文件.cer，验证证书链是否存在无法获取的中间证书或不信任的根证书。

内容的提问来源于stack exchange，提问作者user18610347