如何通过HTTP头或查询参数中的ApiKey保护WCF SOAP服务的WSDL获取与SOAP调用？

我之前刚好搞定过一模一样的需求——既要用ApiKey保护WCF服务的调用，还要拦截WSDL的获取请求，验证失败直接返回空文档+指定HTTP状态码，完全绕开WCF默认的SOAP Fault。下面是具体的实现步骤，亲测有效：

WCF默认的错误处理会强制返回SOAP Fault，所以我们要在WCF的SOAP处理管道之前就拦截请求，直接操作底层HTTP上下文返回响应，终止后续流程。

1. 实现消息拦截器（IDispatchMessageInspector） #

这个拦截器会在所有入站请求（包括WSDL获取请求）到达服务逻辑前触发，负责ApiKey验证和错误响应：

public class ApiKeyValidationInspector : IDispatchMessageInspector
{
    // 可自定义ApiKey的HTTP头名称
    private const string ApiKeyHeaderName = "X-Api-Key";
    private readonly string _validApiKey;

    public ApiKeyValidationInspector(string validApiKey)
    {
        _validApiKey = validApiKey;
    }

    public object AfterReceiveRequest(ref Message request, IClientChannel channel, InstanceContext instanceContext)
    {
        var httpContext = HttpContext.Current;
        if (httpContext == null)
        {
            // 非HTTP绑定直接返回403（你的需求是HTTP场景，这步可忽略）
            SendUnauthorizedResponse(httpContext);
            return null;
        }

        // 优先从HTTP头取ApiKey，没有则查查询参数
        string apiKey = httpContext.Request.Headers[ApiKeyHeaderName];
        if (string.IsNullOrEmpty(apiKey))
        {
            apiKey = httpContext.Request.QueryString["ApiKey"];
        }

        // ApiKey验证失败直接返回响应
        if (!string.Equals(apiKey, _validApiKey, StringComparison.OrdinalIgnoreCase))
        {
            SendUnauthorizedResponse(httpContext);
            // 返回null终止WCF后续处理，避免生成SOAP Fault
            return null;
        }

        return null;
    }

    public void BeforeSendReply(ref Message reply, object correlationState)
    {
        // 出站响应不需要特殊处理
    }

    private void SendUnauthorizedResponse(HttpContext httpContext)
    {
        // 按需设置状态码：401 Unauthorized 或 403 Forbidden
        httpContext.Response.StatusCode = 403;
        // 清空响应内容，返回空文档
        httpContext.Response.ClearContent();
        httpContext.Response.ContentLength = 0;
        // 强制结束响应，阻止WCF后续流程
        httpContext.Response.End();
    }
}

2. 实现服务行为（IServiceBehavior） #

把上面的拦截器注册到服务的所有端点，确保所有请求都经过验证：

public class ApiKeyValidationBehavior : IServiceBehavior
{
    private readonly string _validApiKey;

    public ApiKeyValidationBehavior(string validApiKey)
    {
        _validApiKey = validApiKey;
    }

    public void Validate(ServiceDescription serviceDescription, ServiceHostBase serviceHostBase)
    {
        // 无需额外验证
    }

    public void AddBindingParameters(ServiceDescription serviceDescription, ServiceHostBase serviceHostBase, Collection<ServiceEndpoint> endpoints, BindingParameterCollection bindingParameters)
    {
        // 无需绑定参数
    }

    public void ApplyDispatchBehavior(ServiceDescription serviceDescription, ServiceHostBase serviceHostBase)
    {
        var inspector = new ApiKeyValidationInspector(_validApiKey);
        // 给所有端点的分发运行时添加拦截器
        foreach (ChannelDispatcher channelDispatcher in serviceHostBase.ChannelDispatchers)
        {
            foreach (EndpointDispatcher endpointDispatcher in channelDispatcher.Endpoints)
            {
                endpointDispatcher.DispatchRuntime.MessageInspectors.Add(inspector);
            }
        }
    }
}

3. 配置服务宿主 #

在启动服务时，把自定义行为添加到服务宿主中：

// 假设你的服务实现类是FooService
var serviceHost = new ServiceHost(typeof(FooService));
// 替换成你的有效ApiKey
serviceHost.Description.Behaviors.Add(new ApiKeyValidationBehavior("YourSecureApiKey_123"));
serviceHost.Open();

• 必须使用HTTP绑定（比如BasicHttpBinding、WSHttpBinding），因为我们依赖HttpContext.Current，非HTTP绑定（如TCP）不适用。
• 该方案会完全绕过WCF的SOAP错误处理逻辑，验证失败时直接返回空文档+指定状态码，完全符合你的需求。
• WSDL请求（?wsdl或?singleWsdl）会被正常拦截，因为本质上也是HTTP请求，会触发拦截器的验证逻辑。

内容的提问来源于stack exchange，提问作者galmok