本地局域网客户端与WCF服务通信加密实现方案咨询

直接给三种可直接落地的方案，按需选择即可。

方案1：零证书依赖的对称密钥消息加密 #

你提到的客户端配置密钥、服务端持有相同密钥完成加解密的模式WCF原生支持，全程不需要操作证书，不会触发任何证书提示，也不需要给客户端手动导入任何文件。
核心逻辑是把安全模式从当前的传输层（HTTPS）切换到消息层，用预共享的对称密钥做AES256加密，所有传输的SOAP消息全程为密文，抓包无法获取明文内容。

服务端配置 #

把现有app.config里的basicHttpBinding替换为自定义绑定，不需要额外绑定HTTPS端口，普通HTTP端口即可承载加密通信：

<bindings>
  <customBinding>
    <binding name="pskSecureBinding">
      <security authenticationMode="Anonymous"
                requireSecurityContextCancellation="false"
                algorithmSuite="Basic256"/>
      <textMessageEncoding messageVersion="Soap11"/>
      <httpTransport/>
    </binding>
  </customBinding>
</bindings>

服务端启动时直接加载和客户端提前约定好的对称密钥即可，不需要在服务器上安装任何证书。

客户端配置 #

客户端绑定配置和服务端保持一致，初始化WCF客户端时传入和服务端完全相同的对称密钥，删掉之前写的全局证书校验回调代码即可。
注意密钥不要直接以明文形式硬编码在配置文件里，可以做简单混淆，避免被反编译直接泄露。

方案2：保留现有HTTPS配置，零手动操作屏蔽弹窗 #

如果不想改动现有HTTPS逻辑，当前弹出证书安全提示的核心原因是你写的ServicePointManager.ServerCertificateValidationCallback注册时机太晚——WCF在初始化安全通道、拉取服务元数据的时候回调还未生效，就会触发系统级的安全提示。
按以下两步修改即可完全屏蔽弹窗：

1. 把证书回调代码从业务层移到程序最入口（比如Main方法的第一行），保证所有网络请求发起前回调已经注册完成，不要放在窗体构造函数或者服务调用前才注册。回调里不要直接无脑返回true，增加证书指纹校验逻辑可以避免完全放开证书校验带来的安全风险：

   ServicePointManager.ServerCertificateValidationCallback = (sender, cert, chain, errors) =>
   {
       var req = sender as HttpWebRequest;
       if (req?.Address.Host == "你的WCF服务固定IP/主机名")
       {
           // 对比证书指纹，和服务端自签名证书指纹一致则放行
           return cert.GetCertHashString().Equals("你的自签名证书指纹（大写无空格）", StringComparison.OrdinalIgnoreCase);
       }
       return errors == SslPolicyErrors.None;
   };
   

2. 在客户端app.config的endpoint节点里提前配置服务证书的身份信息，关闭首次连接时自动拉取元数据校验证书的逻辑：

   <endpoint address="https://你的服务访问地址"
             binding="basicHttpBinding"
             bindingConfiguration="secureHttpBinding"
             contract="Service.IConfigurationService"
             name="test">
     <identity>
       <certificateReference findValue="你的自签名证书指纹"
                             x509FindType="FindByThumbprint"
                             storeName="My"
                             storeLocation="LocalMachine"/>
     </identity>
   </endpoint>
   

修改完成后客户端启动可直接连接服务，不会再弹出证书确认窗口，也不需要手动导入证书。

方案3：域环境批量部署最优解 #

如果你的局域网是Windows域环境，完全不需要逐台客户端操作，直接在域控上配置组策略，把服务端使用的自签名证书推送到域内所有机器的「受信任的根证书颁发机构」存储区即可。一次配置永久生效，不管是WCF客户端还是浏览器访问服务，都不会再报证书不信任错误，是企业内网生产环境最规范的方案。

内容的提问来源于stack exchange，提问作者dafie