无法在单个WCF端点行为中组合enableWebScript与clientCredentials

首先明确：clientCredentials是客户端行为节点，服务端配置证书验证不能放在端点行为里——这是你配置失效的核心原因。如果是服务端需要通过指纹验证客户端X509证书，同时要支持AJAX（即使用enableWebScript），需要分开配置服务端凭据验证和AJAX行为，两者可以共存，只是配置位置不同。

正确配置方案 #

1. 服务端行为配置（证书验证） #

在serviceBehaviors中配置serviceCredentials，指定客户端证书的验证规则和信任的指纹：

<behaviors>
  <!-- 服务端全局行为：处理证书验证 -->
  <serviceBehaviors>
    <behavior name="ServiceCertBehavior">
      <serviceCredentials>
        <!-- 配置客户端证书验证逻辑 -->
        <clientCertificate>
          <!-- 验证模式可根据需求选择，这里以指定信任指纹为例 -->
          <authentication certificateValidationMode="PeerTrust" />
          <!-- 添加信任的客户端证书指纹 -->
          <trustedCertificates>
            <add findValue="AA BB CC DD EE FF 00 11 22 33 44 55 66 77 88 99 AA BB CC DD" 
                 storeLocation="LocalMachine" 
                 storeName="My" 
                 x509FindType="FindByThumbprint" />
          </trustedCertificates>
        </clientCertificate>
        <!-- 服务端自身的SSL证书（如果用Transport安全模式） -->
        <serviceCertificate findValue="服务端证书指纹" 
                           storeLocation="LocalMachine" 
                           storeName="My" 
                           x509FindType="FindByThumbprint" />
      </serviceCredentials>
    </behavior>
  </serviceBehaviors>

  <!-- 端点行为：支持AJAX调用 -->
  <endpointBehaviors>
    <behavior name="AjaxEnabledBehavior">
      <enableWebScript />
    </behavior>
  </endpointBehaviors>
</behaviors>

2. 绑定配置（启用证书安全） #

使用webHttpBinding并配置安全模式为Transport（HTTPS），指定客户端凭据类型为证书：

<bindings>
  <webHttpBinding>
    <binding name="SecureAjaxBinding">
      <security mode="Transport">
        <transport clientCredentialType="Certificate" />
      </security>
    </binding>
  </webHttpBinding>
</bindings>

3. 服务与端点关联 #

将服务端行为、端点行为和绑定关联到具体的服务端点：

<services>
  <service name="YourNamespace.YourWcfService" behaviorConfiguration="ServiceCertBehavior">
    <endpoint address="" 
              binding="webHttpBinding" 
              bindingConfiguration="SecureAjaxBinding" 
              behaviorConfiguration="AjaxEnabledBehavior" 
              contract="YourNamespace.IYourWcfService" />
  </service>
</services>

关键注意事项 #

• 节点角色区分：clientCredentials仅用于WCF客户端配置（客户端向服务端提交凭据），服务端验证客户端证书必须用serviceCredentials节点。
• 安全模式匹配：如果使用证书验证，绑定必须启用Transport（HTTPS）或TransportWithMessageCredential安全模式，不能用None。
• 证书存储权限：确保WCF服务进程（如IIS应用池身份）有权限访问证书存储（LocalMachine\My需要管理员权限，可通过证书管理器设置权限）。

内容的提问来源于stack exchange，提问作者Sumit