调用需证书认证的SOAP 1.2 HTTPS服务遇证书配置问题求助

让我帮你一步步梳理你遇到的两个核心问题，结合WCF的配置逻辑来解释：

问题1：该配置哪张证书？能否关闭服务证书验证？ #

首先得明确两张证书的作用：

• 你拿到的*.p12（PKCS12）文件里的客户端证书（颁发给COMPANY）：这是你作为客户端，用来向服务端证明自己身份的凭证，需要配置在客户端的clientCredentials里，而不是服务证书。
• 错误中提到的serviceCertificate：这是服务端用来证明它自身身份的证书，通常是服务端HTTPS域名对应的SSL证书，要么由服务提供商提供，要么是其域名的公开可信证书。

你收到的错误"The service certificate is not provided..."，根源是你用了AnonymousForCertificate认证模式——这个模式要求客户端必须验证服务端的证书合法性，但你没有指定服务端证书的信任规则或具体证书。

关于单向传输的验证关闭：
理论上可以调整验证逻辑，但非常不建议完全关闭证书验证（会直接暴露在中间人攻击风险下）。如果确实是测试场景或特殊需求，你可以在客户端配置里修改服务证书的验证模式：

<clientCredentials>
  <serviceCertificate>
    <authentication certificateValidationMode="None" revocationMode="NoCheck"/>
  </serviceCertificate>
</clientCredentials>

更安全的做法是：将服务提供商的根证书（DOMAIN.COM的自签证书）导入到你的本地信任证书存储中，然后配置验证模式为PeerOrChainTrust，这样客户端会自动信任该根证书签发的所有证书。

问题2：服务证书的域名不匹配问题 #

你遇到的身份检查错误，核心原因是服务端的实际域名（SUBDOMAIN.DOMAIN.COM）和证书的DNS标识（DOMAIN.COM）不匹配：

• WCF默认会严格验证服务端证书的DNS标识是否与请求的域名一致，这是SSL/TLS协议的基础安全要求，防止你连接到伪造的服务端。
• 服务端的证书应该要么直接颁发给SUBDOMAIN.DOMAIN.COM，要么是覆盖所有子域名的通配符证书*.DOMAIN.COM，当前的DOMAIN.COM证书不符合这个要求。

这大概率是服务提供商的配置疏漏——他们的服务端点用了子域名，但提供的证书只覆盖主域名。你有两个选择：

1. 推荐方案：向服务提供商索要对应SUBDOMAIN.DOMAIN.COM或*.DOMAIN.COM的服务端证书，从根源解决身份匹配问题。
2. 临时 workaround：按照错误提示，显式指定服务端的DNS身份为DOMAIN.COM，绕过域名匹配检查。可以在app.config的endpoint里添加identity配置：

<endpoint address="https://subdomain.domain.com/*/*/*" 
          binding="customBinding" 
          bindingConfiguration="DistributorServiceBinding" 
          contract="*" 
          name="DistributorServicePort">
  <identity>
    <dns value="DOMAIN.COM"/>
  </identity>
</endpoint>

注意：这个方案会降低安全性，因为它允许任何使用DOMAIN.COM证书的服务端被信任，可能存在中间人攻击风险，只建议在测试环境或确认服务商无法提供正确证书的情况下临时使用。

完整配置示例（结合客户端证书和信任规则） #

最后给你一个调整后的app.config参考，包含客户端证书配置和服务证书信任规则：

<?xml version="1.0" encoding="utf-8" ?>
<configuration>
<system.serviceModel>
<behaviors>
  <endpointBehaviors>
    <behavior name="ClientCertBehavior">
      <clientCredentials>
        <!-- 配置你的客户端证书（从p12导入到当前用户证书存储后） -->
        <clientCertificate findValue="COMPANY" x509FindType="FindBySubjectName" storeLocation="CurrentUser" storeName="My"/>
        <!-- 配置服务证书验证规则 -->
        <serviceCertificate>
          <authentication certificateValidationMode="PeerOrChainTrust" trustedStoreLocation="CurrentUser"/>
        </serviceCertificate>
      </clientCredentials>
    </behavior>
  </endpointBehaviors>
</behaviors>
<bindings>
<customBinding>
<binding name="DistributorServiceBinding">
<security authenticationMode="AnonymousForCertificate">
<issuedTokenParameters />
<localClientSettings />
<localServiceSettings />
<secureConversationBootstrap />
</security>
<textMessageEncoding messageVersion="Soap12" />
<httpsTransport />
</binding>
</customBinding>
</bindings>
<client>
<endpoint address="https://subdomain.domain.com/*/*/*" 
          binding="customBinding" 
          bindingConfiguration="DistributorServiceBinding" 
          contract="*" 
          name="DistributorServicePort"
          behaviorConfiguration="ClientCertBehavior">
  <!-- 如果用workaround，取消注释下面的identity配置 -->
  <!-- <identity>
    <dns value="DOMAIN.COM"/>
  </identity> -->
</endpoint>
</client>
</system.serviceModel>
</configuration>

内容的提问来源于stack exchange，提问作者axk