如何建立WCF SSL/TLS安全通道信任关系并正确配置证书？

问题场景 #

现有基于WCF的客户端-服务器应用，需通过app.config完成证书关联配置。当前服务器端app.config证书配置如下：

<behaviors>
  <serviceBehaviors>
    <behavior>
      <serviceCredentials>
        <serviceCertificate findValue="5b92cf508b894aec82074514954185ecd78b654a" storeLocation="LocalMachine" storeName="Root" x509FindType="FindByThumbprint" />
      </serviceCredentials>
    </behavior>
  </serviceBehaviors>
</behaviors>

客户端通过代码指定证书：

X509Store store = new X509Store(StoreName.Root, StoreLocation.LocalMachine);
store.Open(OpenFlags.ReadOnly);
X509Certificate2Collection certificates = store.Certificates.Find(
    X509FindType.FindByThumbprint, "5b92cf508b894aec82074514954185ecd78b654a", true); // 调试时可正确找到证书

InstanceContext context = new InstanceContext(callback);
this.SystemService = new SystemServiceClient(context, tcpBinding, tcpAddress);
this.SystemService.ClientCredentials.ClientCertificate.Certificate = certificates[0];

调试时客户端可正常识别证书，但调用服务方法string[] lstIFs = this.ServerConnection.NetworkService.GetNetworkInterfaces();时，抛出System.ServiceModel.Security.SecurityNegotiationException，提示无法与授权方建立SSL/TLS安全通道的信任关系。

异常详情 #

• 堆栈跟踪：

at System.Runtime.Remoting.Proxies.RealProxy.PrivateInvoke(MessageData& msgData, Int32 type)
at EchoAdminClient.SystemService.INetworkSettingService.GetNetworkInterfaces()
at EchoAdminClient.SystemService.NetworkSettingServiceClient.GetNetworkInterfaces() in C:\Git\EchoAdminForEcho65XPlus\EchoAdminClient\Connected Services\SystemService\Reference.cs:line 843
at EchoAdminClient.MainForm.UpdateNetworkSettings() in C:\Git\EchoAdminForEcho65XPlus\EchoAdminClient\MainForm.cs:line 556
at EchoAdminClient.MainForm.ConnectServer() in C:\Git\EchoAdminForEcho65XPlus\EchoAdminClient\MainForm.cs:line 495

• 内层异常链：

  System.ServiceModel.Security.SecurityNegotiationException: 无法与授权方 'localhost:8080' 建立SSL/TLS安全通道的信任关系。

  内层异常：System.Net.WebException: 基础连接已经关闭: 无法与授权方建立SSL/TLS安全通道的信任关系。

  深层异常：System.Security.Authentication.AuthenticationException: 根据验证过程，远程证书无效。

• 服务器证书信息：该证书为自签名证书，证书主体名称为Echo65XPlus，与客户端连接的服务地址localhost:8080不匹配。

问题原因 #

1. 证书主体不匹配：服务器证书的主体名称（或主题备用名称）与客户端请求的服务地址localhost不一致，SSL/TLS验证时会判定证书无效。
2. 自签名证书信任问题：自签名证书默认不被系统信任，即使导入到Root存储区，若主体不匹配仍会验证失败。
3. 客户端未处理服务端证书验证：客户端仅指定了自身证书，但未对服务端证书的信任逻辑做配置，导致系统默认验证失败。

解决方案 #

方案一：修复证书并建立信任（生产环境推荐） #

1. 重新生成匹配地址的自签名证书
   使用PowerShell生成主体为localhost的证书：

   New-SelfSignedCertificate -DnsName "localhost" -CertStoreLocation "Cert:\LocalMachine\My"
   

   若需要支持多个地址，可添加主题备用名称：

   New-SelfSignedCertificate -DnsName "localhost", "Echo65XPlus" -CertStoreLocation "Cert:\LocalMachine\My"
   

2. 导入证书到信任存储区

   • 将新证书从LocalMachine\My导出为PFX文件（包含私钥）
   • 将PFX文件导入到服务器的LocalMachine\Root存储区
   • 同样将证书导入到客户端的LocalMachine\Root存储区，确保客户端信任该证书

3. 更新配置
   替换服务器端app.config中serviceCertificate的findValue为新证书的指纹。

方案二：客户端跳过证书验证（仅测试环境使用） #

在客户端创建服务实例前添加证书验证回调，强制信任所有服务端证书：

// 全局设置，仅用于测试
ServicePointManager.ServerCertificateValidationCallback += (sender, cert, chain, sslPolicyErrors) => true;

// 后续创建客户端实例逻辑不变
InstanceContext context = new InstanceContext(callback);
this.SystemService = new SystemServiceClient(context, tcpBinding, tcpAddress);
this.SystemService.ClientCredentials.ClientCertificate.Certificate = certificates[0];

方案三：通过app.config配置客户端证书与信任 #

替代代码方式，直接在客户端app.config中完成配置：

1. 配置客户端行为

<behaviors>
  <endpointBehaviors>
    <behavior name="TrustedClientBehavior">
      <clientCredentials>
        <!-- 指定客户端证书 -->
        <clientCertificate findValue="证书指纹" storeLocation="LocalMachine" storeName="Root" x509FindType="FindByThumbprint" />
        <!-- 配置服务端证书验证逻辑，测试环境可关闭验证 -->
        <serviceCertificate>
          <authentication certificateValidationMode="None" revocationMode="NoCheck" />
        </serviceCertificate>
      </clientCredentials>
    </behavior>
  </endpointBehaviors>
</behaviors>

2. 关联到客户端端点

<client>
  <endpoint 
    address="net.tcp://localhost:8080/SystemService" 
    binding="netTcpBinding" 
    contract="SystemService.ISystemService"
    behaviorConfiguration="TrustedClientBehavior" />
</client>

内容的提问来源于stack exchange，提问作者nikhil