WCF报SecurityTokenValidationException X.509证书链失败如何解决

报错核心是三个问题，你之前的尝试都没命中关键点：

• 只在服务端配置了客户端证书的跳过校验规则，客户端侧完全没配置服务端证书的验证参数，客户端校验服务端证书时默认走链信任逻辑，自然会报根证书不受信任
• 直接拿RootCA根证书当服务/客户端的身份证书用，不符合X.509规范：根证书的用途只有签发下级证书，不能直接用来做消息安全的身份凭证
• 证书存储位置放错、私钥权限没配，会触发隐式校验失败，你之前把根证书放到Trusted People是没用的，根证书必须进「受信任的根证书颁发机构」存储才会被系统信任链识别。

1. 先修正证书用法 #

不要直接用RootCA作为通信证书：

• 用已创建的RootCA重新签发两张终端证书：一张给服务端使用，主题名建议和服务访问域名一致（本地测试填localhost即可），证书增强密钥用法必须包含服务器身份验证；另一张给客户端使用，增强密钥用法包含客户端身份验证
• 把RootCA根证书同时导入到客户端和服务端的「本地计算机\受信任的根证书颁发机构」存储
• 签发好的两张终端证书（服务端、客户端证书）统一放到「本地计算机\个人(My)」存储

2. 修正服务端配置 #

你当前服务端配置漏了服务端证书的storeName指定，修正后的serviceCredentials节点参考如下：

<serviceCredentials>
    <!-- findValue替换为你签发的服务端终端证书主题名，建议后续改用证书指纹查找避免匹配错误 -->
    <serviceCertificate findValue="localhost" x509FindType="FindBySubjectName" storeLocation="LocalMachine" storeName="My"/>
    <clientCertificate>
        <!-- 开发环境可设为None跳过客户端证书校验，生产环境请改回ChainTrust -->
        <authentication certificateValidationMode="None" revocationMode="NoCheck" trustedStoreLocation="LocalMachine"/>
    </clientCertificate>
</serviceCredentials>

必须配置私钥权限：找到本地计算机个人存储里的服务端证书，右键选择「所有任务->管理私钥」，给运行WCF服务的账号（IIS部署对应IIS_IUSRS组、VS本地调试对应当前登录用户）添加读取权限，否则会出现证书找不到、无权限访问的隐式报错。

3. 修正客户端配置 #

你当前客户端配置完全没有指定服务端证书的验证规则，这是之前改了服务端配置仍然报错的核心原因，修正后的客户端endpointBehaviors节点参考如下：

<endpointBehaviors>
    <behavior name="BCertificado">
        <clientCredentials>
            <!-- findValue替换为你签发的客户端终端证书 -->
            <clientCertificate findValue="clientCert" x509FindType="FindBySubjectName" storeLocation="LocalMachine" storeName="My"/>
            <!-- 新增服务端证书验证配置，开发环境设为None跳过链校验 -->
            <serviceCertificate>
                <authentication certificateValidationMode="None" revocationMode="NoCheck" trustedStoreLocation="LocalMachine"/>
            </serviceCertificate>
        </clientCredentials>
    </behavior>
</endpointBehaviors>

如果需要保留正常证书校验逻辑，不需要设None，只要确认RootCA已经正确导入本地计算机的受信任根存储，把certificateValidationMode设为ChainTrust即可正常通过校验。

• 生产环境禁止使用certificateValidationMode="None"，该配置会完全跳过证书校验，存在中间人攻击风险，生产环境请统一使用ChainTrust模式，按规范部署CA和证书链
• 不要用FindBySubjectName作为证书查找方式，主题名可能重复，建议改用FindByThumbprint（证书指纹）查找，避免匹配到错误的证书
• 当前服务端配置里留了两个匿名/同名的serviceBehavior节点，冗余的匿名behavior可以删除，避免配置继承导致参数不生效
• 客户端endpoint里硬编码的identity/certificate encodedValue如果是旧RootCA的证书值，要替换成新的服务端证书对应标识，不然会出现证书标识匹配失败的错误
• 客户端和服务端的binding配置要保持完全一致，不要出现一侧开了消息安全、另一侧没开的参数不匹配问题。

内容的提问来源于stack exchange，提问作者RCerezo