为SOAP Header添加XML前缀时遇内部错误，请求排查

你的问题核心是请求中的Security元素缺少wsse前缀，虽然XML命名空间正确，但很多旧版SOAP服务会严格校验前缀（而非仅依赖命名空间URI），这直接导致了服务端返回的Client: Internal Error。以下是几种可行的解决方法：

方法1：自定义MessageHeader强制指定wsse前缀 #

WCF默认的MessageHeader.CreateHeader不会主动设置前缀，我们可以自定义MessageHeader实现，手动控制输出格式：

public class WsseSecurityHeader : MessageHeader
{
    private readonly XElement _samlAssertion;

    public WsseSecurityHeader(XElement samlAssertion)
    {
        _samlAssertion = samlAssertion;
    }

    public override string Name => "Security";
    public override string Namespace => "http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd";

    protected override void OnWriteStartHeader(XmlDictionaryWriter writer, MessageVersion messageVersion)
    {
        // 强制写入wsse前缀的元素
        writer.WriteStartElement("wsse", Name, Namespace);
    }

    protected override void OnWriteHeaderContents(XmlDictionaryWriter writer, MessageVersion messageVersion)
    {
        // 确保saml前缀声明（根据你的SAML版本调整命名空间）
        writer.WriteAttributeString("xmlns", "saml", null, "urn:oasis:names:tc:SAML:2.0:assertion");
        // 写入SAML断言
        _samlAssertion.WriteTo(writer);
    }
}

替换原代码中创建MessageHeader的部分：

// 若你的assertion是字符串，先转换为XElement：XElement.Parse(assertion)
var securityHeader = new WsseSecurityHeader(assertion);
OperationContext.Current.OutgoingMessageHeaders.Add(securityHeader);

方法2：调整绑定配置，避免自动生成Security头冲突 #

你当前使用的CreateMutualCertificateBindingElement会自动生成Security头，和你手动添加的头冲突。改用仅做传输层证书校验的绑定：

private System.ServiceModel.Channels.Binding GetCustomBinding()
{
    var transport = new HttpsTransportBindingElement();
    transport.RequireClientCertificate = true;

    var textMessageEncoding = new TextMessageEncodingBindingElement();
    textMessageEncoding.MessageVersion = MessageVersion.Soap11;

    // 仅启用传输层证书验证，消息安全自定义处理
    var security = SecurityBindingElement.CreateCertificateOverTransportBindingElement();
    security.DefaultAlgorithmSuite = SecurityAlgorithmSuite.Basic256;
    security.IncludeTimestamp = false; // 若服务端不需要时间戳可关闭

    return new CustomBinding(security, textMessageEncoding, transport);
}

方法3：通过MessageInspector直接修改SOAP信封 #

如果前两种方法无效，直接拦截请求并修改XML结构：

public class WssePrefixInspector : IClientMessageInspector
{
    public object BeforeSendRequest(ref Message request, IClientChannel channel)
    {
        // 将Message转换为XmlDocument以便修改
        var doc = new XmlDocument();
        using (var reader = request.GetReaderAtBodyContents())
        {
            doc.Load(reader);
        }

        var nsMgr = new XmlNamespaceManager(doc.NameTable);
        nsMgr.AddNamespace("soap", "http://schemas.xmlsoap.org/soap/envelope/");
        nsMgr.AddNamespace("wsse", "http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd");

        // 找到Security节点并修改前缀
        var securityNode = doc.SelectSingleNode("//soap:Header/Security", nsMgr);
        if (securityNode != null)
        {
            securityNode.Prefix = "wsse";
            // 若文档未声明wsse命名空间，手动添加
            if (doc.DocumentElement.GetAttribute("xmlns:wsse") == string.Empty)
            {
                doc.DocumentElement.SetAttribute("xmlns:wsse", "http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd");
            }
        }

        // 重新构建请求Message
        var newRequest = Message.CreateMessage(request.Version, null, new XmlNodeReader(doc));
        newRequest.Headers.CopyHeaderFrom(request, 0, request.Headers.Count - 1);
        request = newRequest;

        return null;
    }

    public void AfterReceiveReply(ref Message reply, object correlationState)
    {
        // 无需处理响应
    }
}

记得将Inspector添加到客户端行为：

client.Endpoint.Behaviors.Add(new WssePrefixInspector());

重要检查点 #

1. 确保SAML断言的saml前缀和命名空间匹配服务端要求（通常是urn:oasis:names:tc:SAML:2.0:assertion）
2. 检查请求中是否存在多个Security头（WCF自动生成+手动添加），这是常见的隐藏问题
3. 禁用不必要的WCF自动安全特性（如时间戳），避免服务端无法解析

内容的提问来源于stack exchange，提问作者Marco Leone