如何实现WCF WebServiceHost不对非白名单IP返回响应以隐藏服务存在？

你遇到的问题核心在于之前的操作都会破坏WCF的正常通道/实例生命周期，导致后续连接无法建立。正确的做法是在消息处理的最早期阶段拦截非白名单IP的请求，并且不触发任何后续的服务逻辑，同时不返回任何内容。下面是具体的实现步骤：

1. 自定义IDispatchMessageInspector实现IP检查 #

消息检查器是WCF中用来拦截请求和响应的扩展点，我们可以在这里判断客户端IP是否在白名单内，如果不在，直接终止请求处理，不返回任何内容。

public class IpWhitelistInspector : IDispatchMessageInspector
{
    private readonly HashSet<string> _allowedIps;

    public IpWhitelistInspector(IEnumerable<string> allowedIps)
    {
        // 忽略大小写，支持IPv4/IPv6（注意IPv6格式要匹配）
        _allowedIps = new HashSet<string>(allowedIps, StringComparer.OrdinalIgnoreCase);
    }

    public object AfterReceiveRequest(ref Message request, IClientChannel channel, InstanceContext instanceContext)
    {
        string clientIp = GetClientIpAddress();

        // 如果IP不在白名单，直接将请求置为null，终止后续处理
        if (!string.IsNullOrEmpty(clientIp) && !_allowedIps.Contains(clientIp))
        {
            request = null;
        }

        return null;
    }

    public void BeforeSendReply(ref Message reply, object correlationState)
    {
        string clientIp = GetClientIpAddress();

        // 确保非白名单IP不会收到任何响应
        if (!string.IsNullOrEmpty(clientIp) && !_allowedIps.Contains(clientIp))
        {
            reply = null;
        }
    }

    // 封装获取客户端IP的逻辑
    private string GetClientIpAddress()
    {
        string clientIp = null;

        // 优先从反向代理的X-Forwarded-For头获取真实IP（如果你的服务在代理后）
        if (OperationContext.Current.IncomingMessageProperties.TryGetValue(HttpRequestMessageProperty.Name, out var httpProp))
        {
            var httpRequest = httpProp as HttpRequestMessageProperty;
            var forwardedFor = httpRequest?.Headers["X-Forwarded-For"];
            if (!string.IsNullOrEmpty(forwardedFor))
            {
                // 多个IP时取第一个（通常是客户端真实IP）
                clientIp = forwardedFor.Split(',').First().Trim();
            }
        }

        // 如果没有代理头，直接获取远程端点IP
        if (string.IsNullOrEmpty(clientIp) && 
            OperationContext.Current.IncomingMessageProperties.TryGetValue(RemoteEndpointMessageProperty.Name, out var remoteProp))
        {
            var remoteEndpoint = remoteProp as RemoteEndpointMessageProperty;
            clientIp = remoteEndpoint?.Address;
        }

        return clientIp;
    }
}

2. 创建服务行为来注册消息检查器 #

接下来需要把这个检查器注册到服务宿主的所有端点上，我们通过自定义IServiceBehavior来实现：

public class IpWhitelistBehavior : IServiceBehavior
{
    private readonly IEnumerable<string> _allowedIps;

    public IpWhitelistBehavior(IEnumerable<string> allowedIps)
    {
        _allowedIps = allowedIps;
    }

    public void ApplyDispatchBehavior(ServiceDescription serviceDescription, ServiceHostBase serviceHostBase)
    {
        // 遍历所有通道和端点，添加消息检查器
        foreach (var channelDispatcher in serviceHostBase.ChannelDispatchers.OfType<ChannelDispatcher>())
        {
            foreach (var endpointDispatcher in channelDispatcher.Endpoints)
            {
                endpointDispatcher.DispatchRuntime.MessageInspectors.Add(new IpWhitelistInspector(_allowedIps));
            }
        }
    }

    // 其他接口方法无需实现，留空即可
    public void AddBindingParameters(ServiceDescription serviceDescription, ServiceHostBase serviceHostBase, Collection<ServiceEndpoint> endpoints, BindingParameterCollection bindingParameters) { }
    public void Validate(ServiceDescription serviceDescription, ServiceHostBase serviceHostBase) { }
}

3. 在WebServiceHost中添加该行为 #

最后，在启动服务的时候，把这个白名单行为添加到服务宿主中：

using (var host = new WebServiceHost(typeof(YourServiceImplementation)))
{
    // 配置你的白名单IP列表
    var allowedIps = new List<string> { "127.0.0.1", "192.168.1.100", "::1" }; // 支持IPv6
    host.Description.Behaviors.Add(new IpWhitelistBehavior(allowedIps));

    host.Open();
    Console.WriteLine("Service is running...");
    Console.ReadLine();
    host.Close();
}

为什么之前的方法不行？ #

• 调用Channel.Close()/Abort()：这会直接关闭当前的通信通道，而WebHttpBinding默认是基于连接的，关闭通道会导致该连接被强制断开，甚至影响WCF的通道池，导致后续新连接无法建立。
• 抛出InvalidOperationException：WCF会自动将异常转换为HTTP 500错误响应，无法达到"不返回任何内容"的需求。
• 终止线程：这会破坏WCF的线程调度模型，导致服务宿主不稳定，甚至崩溃，严重影响所有后续请求的处理。

额外注意事项 #

• 如果你的服务部署在反向代理（比如Nginx、IIS ARR）后面，一定要确保代理正确传递X-Forwarded-For头，这样才能获取到客户端的真实IP。
• 对于IPv6地址，要注意白名单中的格式和实际获取到的格式一致（比如是否包含方括号）。
• 这个方案不会创建服务实例（因为请求被提前终止），完全兼容你设置的InstanceContextMode.PerSession和ConcurrencyMode.Single，不会影响正常请求的会话处理。

内容的提问来源于stack exchange，提问作者Tofnet