WCF服务能否用无私钥.cer替代.pfx认证及代码兼容咨询

1. .cer证书能否替代.pfx实现认证？ #

不行。WCF服务端完成证书认证必须持有带私钥的证书：

• .pfx格式包含证书的公钥和私钥，服务端需要用私钥验证客户端发送的签名信息，确认身份合法性；
• .cer格式只有公钥，仅能用来验证他人签名，无法完成服务端侧的认证交互逻辑，所以单独使用.cer无法实现WCF证书认证。

2. 你提到的代码能否获取.cer证书？ #

这段代码((X509CertificateClaimSet)OperationContext.Current.ServiceSecurityContext.AuthorizationContext.ClaimSets[0]).X509Certificate;的作用是从当前安全上下文提取客户端提供的证书信息：

• 如果客户端用对应私钥的证书发起请求，只是给你的是公钥.cer，这段代码能获取到客户端证书的公钥部分（和.cer内容一致）；
• 但即便能获取到该证书，服务端没有对应私钥的话，依然无法完成完整认证流程——因为服务端需要私钥验证客户端的签名。

可行解决方案 #

• 要求客户端提供其证书对应的私钥授权，或者让客户端将带私钥的证书导入到服务端机器的证书存储中，同时确保服务端进程拥有访问该证书私钥的权限；
• 如果客户端坚持只提供.cer，可以调整认证模式：比如将证书仅用于加密，认证改用用户名密码等其他方式，这需要双方重新协商WCF绑定配置。

内容的提问来源于stack exchange，提问作者Noman idrees