C#调用带数字签名的SOAP Web服务遇400错误求助

问题概述 #

调用带请求数字签名的SOAP Web服务时，持续收到400错误请求，错误信息如下：

"The Login failed because of an exception: javax.security.auth.login.LoginException: CWWSS6810E: The runtime can not identify the key corresponding to the identifier [Xqgkv4YNXYZgUmgtTX+s+ffshm4=]."

错误原因分析 #

这个错误来自WebSphere应用服务器，说明服务端无法通过请求中携带的密钥标识符找到对应的密钥/证书。核心问题出在客户端请求没有正确传递服务端可识别的证书密钥信息，或者本地证书配置、WCF绑定设置不符合服务端要求。

解决方案 #

1. 修正SecurityToken的InclusionMode设置 #

原代码中将发起方和接收方的证书InclusionMode设为Never，导致服务端无法获取客户端证书的密钥标识符，无法匹配对应的密钥。需要修改发起方（客户端）的Token参数：

// 原代码
asbe.InitiatorTokenParameters = new X509SecurityTokenParameters { InclusionMode = SecurityTokenInclusionMode.Never };
asbe.RecipientTokenParameters = new X509SecurityTokenParameters { InclusionMode = SecurityTokenInclusionMode.Never };

// 修改后
asbe.InitiatorTokenParameters = new X509SecurityTokenParameters 
{ 
    InclusionMode = SecurityTokenInclusionMode.AlwaysToRecipient,
    ReferenceStyle = SecurityTokenReferenceStyle.IssuerSerial // 或根据服务端要求改用Thumbprint/Ski
};
asbe.RecipientTokenParameters = new X509SecurityTokenParameters 
{ 
    InclusionMode = SecurityTokenInclusionMode.Never // 服务端证书已信任时可保持此设置
};

2. 移除错误的ProtectionLevel设置 #

原代码中设置cliente.Endpoint.Contract.ProtectionLevel = ProtectionLevel.None会直接禁用消息级的签名和加密，完全违背服务端的数字签名验证要求，必须删除这一行：

// 删除此行代码
// cliente.Endpoint.Contract.ProtectionLevel = ProtectionLevel.None;

若服务端仅要求签名，可显式设置为ProtectionLevel.Sign；若需要加密+签名，设置为ProtectionLevel.SignAndEncrypt。

3. 正确加载客户端证书（确保私钥可访问） #

加载PFX证书时，需指定KeyStorageFlags确保私钥能被WCF正常访问，避免权限问题：

// 原代码
pfxCertificate = new X509Certificate2(pfxCertificatePath, "BlueShieldCa2022!");

// 修改后
pfxCertificate = new X509Certificate2(
    pfxCertificatePath, 
    "BlueShieldCa2022!", 
    X509KeyStorageFlags.MachineKeySet | X509KeyStorageFlags.PersistKeySet | X509KeyStorageFlags.Exportable
);

4. 验证消息安全版本与服务端匹配 #

确认MessageSecurityVersion是否和服务端的安全策略一致，多数服务端使用WSSecurity11版本而非WSSecurity10：

// 尝试替换为WSSecurity11版本（需根据服务端WSDL的安全策略调整）
asbe.MessageSecurityVersion = MessageSecurityVersion.WSSecurity11WSTrustFebruary2005WSSecureConversationFebruary2005WSSecurityPolicy11BasicSecurityProfile10;

额外排查步骤 #

• 确认客户端证书的**密钥标识符（SKI）**是否和错误信息中的Xqgkv4YNXYZgUmgtTX+s+ffshm4=一致，可通过OpenSSL、Windows证书管理器等工具导出证书SKI进行比对。
• 确认客户端证书已导入服务端WebSphere的信任密钥库（truststore），且服务端已配置对应证书的验证规则。
• 启用WCF消息日志，查看实际发送的SOAP请求的Security Header是否包含正确的证书密钥标识符信息。

内容的提问来源于stack exchange，提问作者Umer Waheed