如何在未知服务端证书时用WCF结合WS-SECURITY调用Web服务？

你的问题核心在于AsymmetricSecurityBindingElement默认要求预先提供服务端证书用于消息加密——即使关闭证书验证，WCF仍需要服务端公钥来加密发送给服务端的消息，这也是你之前尝试的验证模式修改无效的原因。以下是两种可行的解决思路：

方法一：改用传输层安全+消息层客户端证书认证（推荐） #

放弃AsymmetricSecurityBindingElement，改用基于HTTPS传输层安全+消息层客户端证书签名的绑定配置。这种方式下，服务端证书由HTTPS传输层自动验证（无需预配置），消息层仅负责客户端证书的身份认证，无需依赖服务端证书做非对称加密。

代码示例： #

// 构建对称安全绑定元素，基于HTTPS传输层的SSL协商
var securityBinding = SecurityBindingElement.CreateSslNegotiationBindingElement(
    requireClientCertificate: false, // 传输层不强制客户端证书，由消息层处理
    isSecureTransport: true);

// 添加消息层的客户端证书令牌（用于服务端验证客户端身份）
var clientCertParams = new X509SecurityTokenParameters(
    X509KeyIdentifierClauseType.Thumbprint,
    SecurityTokenInclusionMode.AlwaysToRecipient);
securityBinding.EndpointSupportingTokenParameters.Signed.Add(clientCertParams);

// 配置WS-Security版本和消息保护级别
securityBinding.MessageSecurityVersion = MessageSecurityVersion.WSSecurity11WSTrustFebruary2005WSSecureConversationFebruary2005WSSecurityPolicy11BasicSecurityProfile10;
securityBinding.ProtectionLevel = ProtectionLevel.EncryptAndSign;

// 编码与传输元素
var textEncoding = new TextMessageEncodingBindingElement(MessageVersion.Soap11, Encoding.UTF8);
var httpsTransport = new HttpsTransportBindingElement();

// 组合自定义绑定
var customBinding = new CustomBinding(securityBinding, textEncoding, httpsTransport);

配置说明： #

• HTTPS传输层会自动完成服务端证书的验证（可通过ClientCredentials.ServiceCertificate.Authentication配置验证规则，比如自定义验证器）
• 消息层仅负责将客户端证书附加到消息中供服务端验证，无需提前知晓服务端证书

方法二：动态获取服务端证书后再调用（适配非对称消息安全场景） #

如果必须保留AsymmetricSecurityBindingElement，可以在调用服务前，通过HTTPS请求动态获取服务端证书，再将其配置到客户端。

代码示例： #

// 目标服务端点地址
var serviceUri = new Uri("https://your-service-endpoint.com/Service.svc");

// 临时跳过证书验证，先获取服务端证书（后续可通过自定义验证器做实际校验）
ServicePointManager.ServerCertificateValidationCallback += (sender, cert, chain, errors) => true;

// 发送HEAD请求触发证书握手，获取服务端证书
try
{
    var request = (HttpWebRequest)WebRequest.Create(serviceUri);
    request.Method = "HEAD";
    using (request.GetResponse()) { }
}
catch { /* 忽略请求错误，仅需触发证书获取流程 */ }

// 获取服务端证书
var servicePoint = ServicePointManager.FindServicePoint(serviceUri);
var serverCert = servicePoint.Certificate;

// 恢复默认验证回调
ServicePointManager.ServerCertificateValidationCallback = null;

// 配置客户端的服务端证书与验证规则
MyClient.ClientCredentials.ServiceCertificate.DefaultCertificate = serverCert;
MyClient.ClientCredentials.ServiceCertificate.Authentication.CertificateValidationMode = X509CertificateValidationMode.Custom;
MyClient.ClientCredentials.ServiceCertificate.Authentication.CustomCertificateValidator = new CustomCertificateValidator();

// 调用服务方法
MyClient.YourServiceMethod();

注意事项： #

• 动态获取证书的步骤仅需在第一次调用该端点时执行，后续可缓存证书避免重复请求
• 必须确保自定义验证器实现了符合业务规则的证书校验逻辑，避免安全风险

内容的提问来源于stack exchange，提问作者user2755814