基于System.ServiceModel.ClientBase传SAML实现WebService认证报错求解

OSB-386200是Oracle Service Bus的WS-Security校验通用错误，你的实现存在三个核心问题，直接触发校验失败：

1. 直接修改WCF自动生成的消息契约类手动添加Security头的方式不符合WS-Security规范：WS-Security 1.0要求Security节点必须是SOAP Header的第一个子元素，且必须携带soap:mustUnderstand="1"属性，你把它作为普通消息头添加，序列化时既不能保证位置正确，也不会自动添加要求的属性，同时自动生成的XML命名空间前缀、节点结构大概率和OSB的校验规则不匹配。
2. 直接修改自动生成的代理类本身就不是合法的扩展方式，后续只要更新服务引用，所有手动修改的代码都会被覆盖。
3. 你没有为WCF客户端配置适配WS-Security SAML认证的绑定，默认绑定不会按照WS-Security标准处理安全头的序列化、校验逻辑。

按照以下步骤调整实现，不要修改自动生成的代理代码：

• 第一步：替换绑定为支持WS-Security标准的WSHttpBinding，配置消息安全模式和SAML令牌凭据类型，参考配置如下：

<bindings>
  <wsHttpBinding>
    <binding name="OSBServiceBinding">
      <security mode="Message">
        <message clientCredentialType="IssuedToken" 
                 negotiateServiceCredential="false" 
                 establishSecurityContext="false"/>
      </security>
    </binding>
  </wsHttpBinding>
</bindings>

• 第二步：通过WCF原生的客户端凭据扩展注入SAML令牌，WCF运行时会自动按照WS-Security规范构造合法的Security头，自动处理节点位置、mustUnderstand属性、命名空间等细节，核心代码示例：

// 初始化服务客户端
var serviceClient = new PortTypeClient();
// 加载构造好的SAML安全令牌，对应SAML1.1用SamlSecurityToken，SAML2.0用Saml2SecurityToken
SecurityToken samlToken = BuildSamlSecurityToken(); // 替换为你自己的SAML令牌构造逻辑
// 配置客户端凭据
serviceClient.ClientCredentials.UseIdentityConfiguration = true;
serviceClient.ClientCredentials.IssuedToken.Token = samlToken;

• 特殊场景适配：如果因为OSB的WS-Security实现是非标准的，无法用WCF内置的令牌注入逻辑，不要修改消息契约，而是实现IClientMessageInspector接口，在消息发送前拦截请求，手动把构造好的、完全符合OSB格式要求的SecurityXML节点插入到SOAP Header的第一个位置，显式设置mustUnderstand="1"属性，保证节点结构和OSB要求完全一致。

排查辅助：可以开启WCF的消息日志功能，抓取实际发出的SOAP报文，和OSB提供的标准请求样例逐节点对比，重点核对Security头位置、SAML断言命名空间、节点签名（如果OSB要求签名校验）是否匹配。

内容的提问来源于stack exchange，提问作者Eduardo César Mozer