自托管Windows Service的WCF切换HTTPS后端口未监听问题排查

一、检查SSL证书与端口的绑定状态 #

1. 查看现有SSL端口绑定 #

以管理员身份打开命令提示符，执行命令：

netsh http show sslcert

输出结果里重点看IP:Port列，确认你的服务使用的端口（6080、6090-6096、6100-6102）是否在列表中，同时核对Certificate Hash是否和你的自签名证书哈希一致。

2. 获取自签名证书的哈希值 #

打开证书管理器（运行certlm.msc），定位到你的自签名证书（通常在个人>证书目录）：

• 右键证书 → 所有任务 → 管理私钥，确保运行Windows Service的账户拥有该证书的读取权限
• 双击证书 → 详细信息 → 找到指纹字段，复制哈希值（去掉中间空格），和netsh输出的Certificate Hash对比，确认匹配

二、配置文件修正建议 #

你的配置存在几个可能导致监听失败的问题：

1. 端点地址优化 #

WCF不建议在endpoint里写完整绝对地址，改为相对路径+基地址的方式，避免绑定冲突：

<service behaviorConfiguration="extern" name="Eps.EDN.Extern">
  <host>
    <baseAddresses>
      <add baseAddress="https://127.0.0.1:6080/" />
    </baseAddresses>
  </host>
  <endpoint address="" binding="basicHttpBinding"
            bindingConfiguration="default" name="EpExtern" 
            bindingNamespace="https://csatest.com.ar/Extern"
            contract="Test.EDN.IExtern" />
</service>

其他服务节点按此格式修改，每个服务对应一个基地址，endpoint留空即可。

2. 手动绑定证书到端口 #

如果netsh未查到对应端口的绑定，执行以下命令添加（替换占位符）：

netsh http add sslcert ipport=0.0.0.0:6080 certhash=你的证书指纹 appid={生成的GUID}

• ipport：用0.0.0.0:端口绑定所有IP，或指定127.0.0.1:端口仅本地访问
• certhash：填写去掉空格的证书指纹
• appid：可通过guidgen.exe生成新GUID，或使用你的Windows Service可执行文件的GUID

3. 赋予端口监听权限 #

运行WCF服务的账户需要http.sys的端口访问权限，执行命令：

netsh http add urlacl url=https://+:6080/ user=你的服务账户名

所有服务用到的端口（6090-6096、6100-6102）都需要执行对应命令。

三、验证监听状态 #

服务启动后，执行命令检查端口是否被监听：

netstat -ano | findstr :6080

若有输出则端口已监听；若无输出，查看事件查看器>Windows日志>应用程序中的WCF服务错误日志，里面会有具体启动失败原因。

内容的提问来源于stack exchange，提问作者user2997393