使用NetTcpBinding连接WCF服务遇权限拒绝，请求配置指导

首先从你提供的WSDL策略中，提取关键的Transport配置要求：

<wsp:Policy wsu:Id="NetTcpBinding_AuthorizationWebService_policy">
<wsp:ExactlyOne>
    <wsp:All>
        <msb:BinaryEncoding xmlns:msb="http://schemas.microsoft.com/ws/06/2004/mspolicy/netbinary1"/>
        <sp:TransportBinding xmlns:sp="http://schemas.xmlsoap.org/ws/2005/07/securitypolicy">
            <wsp:Policy>
                <sp:TransportToken>
                    <wsp:Policy>
                        <msf:SslTransportSecurity xmlns:msf="http://schemas.microsoft.com/ws/2006/05/framing/policy"/>
                    </wsp:Policy>
                </sp:TransportToken>
                <sp:AlgorithmSuite>
                    <wsp:Policy>
                        <sp:Basic256/>
                    </wsp:Policy>
                </sp:AlgorithmSuite>
                <sp:Layout>
                    <wsp:Policy>
                        <sp:Strict/>
                    </wsp:Policy>
                </sp:Layout>
            </wsp:Policy>
        </sp:TransportBinding>
        <wsaw:UsingAddressing/>
    </wsp:All>
</wsp:ExactlyOne>
</wsp:Policy>

关键配置要点分析 #

• 二进制编码：msb:BinaryEncoding是NetTcpBinding的默认编码，这部分你的配置没问题。
• SSL传输安全：msf:SslTransportSecurity要求使用SSL加密传输，对应SecurityMode.Transport，你已经设置，但需要注意服务端的SSL证书是否被客户端信任。
• 算法套件：明确指定了sp:Basic256，这是你当前配置缺失的部分。
• 消息布局：sp:Strict要求消息使用严格布局，NetTcpBinding默认是Strict，但显式设置更稳妥。
• 地址寻址：wsaw:UsingAddressing要求启用WS-Addressing，需要在绑定中显式配置SOAP 1.2版本。
• 客户端凭据类型：SslTransportSecurity通常默认关联Windows身份验证（即使策略中没明确写，多数WCF服务会依赖Windows身份验证），你设置TcpClientCredentialType.None可能是导致Access is denied的核心原因。

修改后的配置代码 #

NetTcpBinding binding = new NetTcpBinding();
// 匹配Transport安全模式
binding.Security.Mode = SecurityMode.Transport;
// 算法套件设置为Basic256，严格匹配策略要求
binding.Security.Transport.AlgorithmSuite = System.ServiceModel.Security.SecurityAlgorithmSuite.Basic256;
// 消息布局保持EncryptAndSign，对应Strict布局要求
binding.Security.Transport.ProtectionLevel = System.Net.Security.ProtectionLevel.EncryptAndSign;
// 更改客户端凭据类型为Windows，适配多数SslTransportSecurity场景的身份验证要求
binding.Security.Transport.ClientCredentialType = TcpClientCredentialType.Windows;
// 启用WS-Addressing，匹配wsaw:UsingAddressing要求
binding.EnvelopeVersion = EnvelopeVersion.Soap12;
binding.UseDefaultWebProxy = false;

EndpointAddress address = new EndpointAddress(uri);

ChannelFactory<IAuthorizationWebService> channelFactory = new ChannelFactory<IAuthorizationWebService>(binding, address);
// 若服务端需要特定域账户访问，可手动指定客户端凭据（根据实际情况调整）
// channelFactory.Credentials.Windows.ClientCredential = new System.Net.NetworkCredential("用户名", "密码", "域名");

IAuthorizationWebService _clientProxy = channelFactory.CreateChannel();

var claims = _clientProxy.LoadClaims();

额外排查点 #

1. 证书信任：如果服务端使用自签名证书，需将证书导入客户端本地信任的根证书颁发机构，否则SSL验证失败会间接触发权限错误。
2. 账户权限：确认运行客户端程序的账户对目标WCF服务有访问权限，尤其是使用Windows身份验证时，账户需被服务端授权。
3. 布局验证：若服务端严格要求Strict布局，不要修改默认的消息序列化设置。

内容的提问来源于stack exchange，提问作者Hary