如何在.NET Standard 2.0的WCF服务连接中禁用NTLM并强制使用Kerberos？

我完全懂你的困扰——在.NET Framework里可以直接通过channelFactory.Credentials.Windows.AllowNtlm = false禁用NTLM回退，但这个属性在.NET Standard 2.0的WindowsClientCredential里确实不存在。不过咱们可以通过自定义绑定的方式绕开这个限制，强制客户端只使用Kerberos认证。

这里有两种可行的方案：

方案一：通过代码构建自定义绑定 #

核心思路是直接操作SecurityBindingElement的本地客户端设置，手动禁用NTLM。下面是完整的代码示例：

// 1. 创建HTTP传输绑定元素（如果用HTTPS，换成HttpsTransportBindingElement）
var transportElement = new HttpTransportBindingElement();

// 2. 创建Windows认证的安全绑定元素（基于传输层安全）
var securityElement = SecurityBindingElement.CreateWindowsOverTransportBindingElement();

// 3. 关键：禁用NTLM回退，强制使用Kerberos
securityElement.LocalClientSettings.AllowNtlm = false;

// 4. 组装自定义绑定
var customBinding = new CustomBinding(securityElement, transportElement);

// 5. 使用自定义绑定创建ChannelFactory
var channelFactory = new ChannelFactory<IMyWcfService>(customBinding, new EndpointAddress("http://your-service-url"));

// 6. 设置Windows凭据（用默认网络凭据或者指定的凭据）
channelFactory.Credentials.Windows.ClientCredential = CredentialCache.DefaultNetworkCredentials;

// 7. 创建通道并调用服务
var channel = channelFactory.CreateChannel();
try
{
    var response = channel.YourServiceMethod();
    // 处理响应
}
finally
{
    ((IClientChannel)channel).Close();
}

方案二：通过配置文件定义绑定 #

如果你的项目倾向于使用配置文件管理WCF设置，也可以在app.config或web.config里定义自定义绑定，明确禁用NTLM：

<configuration>
  <system.serviceModel>
    <bindings>
      <customBinding>
        <binding name="KerberosOnlyBinding">
          <!-- 安全节点中禁用NTLM -->
          <security allowNtlm="false">
            <localClientSettings allowNtlm="false" />
          </security>
          <!-- 传输层配置，根据实际协议选择http/https -->
          <httpTransport />
        </binding>
      </customBinding>
    </bindings>
    <client>
      <endpoint 
        address="http://your-service-url"
        binding="customBinding"
        bindingConfiguration="KerberosOnlyBinding"
        contract="IMyWcfService" />
    </client>
  </system.serviceModel>
</configuration>

之后在代码里直接使用这个配置好的端点创建ChannelFactory即可：

var channelFactory = new ChannelFactory<IMyWcfService>("KerberosOnlyBinding");
// 后续操作和方案一一致

额外注意事项 #

• 确保服务端已经正确配置Kerberos认证，并且客户端可以解析到服务的SPN（服务主体名称）——如果SPN配置错误，Kerberos会直接失败，不会回退到NTLM（这也正好帮你验证是否真的在使用Kerberos）。
• 测试时可以开启Windows的Kerberos日志（事件查看器→应用程序和服务日志→Microsoft→Windows→Kerberos-Key-Distribution-Center），确认是否成功获取了Kerberos票据。

内容的提问来源于stack exchange，提问作者eocron