IIS客户端证书Require与Accept模式导致AuthorizationContext差异问题

当你在IIS中把客户端证书设为Accept时，哪怕提交了有效证书，AuthorizationContext.ClaimSets仍为空，而Require模式下一切正常，核心原因是两种模式在身份验证流程和安全上下文初始化上的本质差异，具体影响AuthorizationContext的点如下：

• 身份验证触发逻辑不同

  • Require模式：IIS会强制客户端提供证书，验证通过后，自动把证书里的身份信息（比如主题DN、序列号、指纹）转换成Claims，直接注入AuthorizationContext.ClaimSets，服务端不用额外配置就能拿到这些声明。
  • Accept模式：IIS只是被动接收证书，不会主动触发证书到Claims的映射流程——除非你在代码或配置里明确开启了证书身份验证的处理逻辑。哪怕证书有效，默认情况下ClaimSets还是空的。

• 安全上下文初始化程度不同

  • Require模式下，服务的ServiceSecurityContext会被完整初始化，包含证书身份验证的全部结果，AuthorizationContext会自动填充来自证书的声明集合。
  • Accept模式下，ServiceSecurityContext只做基础初始化，不会自动解析证书生成Claims。证书信息可能只存在于请求头或底层连接里（比如HttpRequest.ClientCertificate），但不会自动转换成ClaimSets。

• 隐含的配置依赖不同

  • Require模式会自动启用IIS的客户端证书映射功能（不管是一对一还是多对一映射），哪怕没显式配置映射规则，也会生成基于证书本身的基础Claims。
  • Accept模式下，如果要让证书生成ClaimSets，得手动配置或编码：
    1. 在IIS里启用客户端证书映射，配置对应的映射规则；
    2. 在WCF配置里显式指定clientCertificate的authentication节点，把mapClientCertificateToWindowsAccount设为true，或者自定义Claims转换逻辑；
    3. 在代码里手动读取客户端证书，自己生成ClaimSet并注入到AuthorizationContext中。

临时解决示例 #

如果想在Accept模式下让有效证书生成ClaimSets，可以加一段手动处理代码：

var requestProp = OperationContext.Current.IncomingMessageProperties["httpRequest"] as HttpRequestMessageProperty;
if (requestProp != null && requestProp.ClientCertificate != null && requestProp.ClientCertificate.IsValid)
{
    var certClaimSet = new DefaultClaimSet(ClaimSet.System, 
        new Claim(ClaimTypes.Thumbprint, requestProp.ClientCertificate.Thumbprint, Rights.PossessProperty));
    OperationContext.Current.ServiceSecurityContext.AuthorizationContext.ClaimSets.Add(certClaimSet);
}

内容的提问来源于stack exchange，提问作者MitchelWB