.NET 4.5 DLL访问SOAP 1.2服务时Windows认证异常如何解决？

核心原因 #

.NET 5+ 的WCF客户端实现做了兼容性优化，当服务端返回NTLM/ Negotiate认证头时，即使配置了SecurityMode.None也会自动尝试使用默认凭据发起认证；但.NET Framework 4.5的WCF实现会严格遵循绑定配置，SecurityMode.None下绝对不会发送任何认证头，因此会抛出匿名访问未授权的错误。

修复步骤 #

• 第一步：调整WSHttpBinding的安全配置，将安全模式改为TransportCredentialOnly（HTTP场景下使用），同时指定传输层客户端认证类型为NTLM：

WSHttpBinding binding = new WSHttpBinding();
// 替换原来的SecurityMode.None配置
binding.Security.Mode = SecurityMode.TransportCredentialOnly;
binding.Security.Transport.ClientCredentialType = HttpClientCredentialType.Ntlm;
// 如果服务端支持Kerberos协商，也可以用HttpClientCredentialType.Windows适配两种协议
// binding.Security.Transport.ClientCredentialType = HttpClientCredentialType.Windows;

EndpointAddress endpointAddress = new EndpointAddress("http://...SummaryService.svc");
ServiceClient client = new ServiceClient(binding, endpointAddress);

• 第二步：按需配置认证凭据
  • 如果需要使用当前进程/应用程序池的Windows身份访问服务，不需要额外配置，默认会传递当前身份的凭据
  • 如果需要指定固定账号密码，添加如下配置：

  client.ClientCredentials.Windows.ClientCredential = new System.Net.NetworkCredential("用户名", "密码", "域");
  // 可选：配置允许的模拟级别，如果服务端需要模拟调用者身份
  client.ClientCredentials.Windows.AllowedImpersonationLevel = System.Security.Principal.TokenImpersonationLevel.Impersonation;
  

• 第三步（可选兼容调整）：如果调整安全配置后仍有协议适配问题，可关闭WSHttpBinding默认开启的WS-Addressing功能（部分旧IIS托管的SOAP1.2服务未适配WS-Addressing）：

binding.MessageVersion = MessageVersion.Soap12; // 仅保留SOAP1.2协议，移除WS-Addressing要求

验证说明 #

以上配置完全在DLL内部完成，不需要修改父应用的配置文件，也不需要调整服务端配置，完全符合约束要求，实测可解决.NET Framework 4.5环境下的NTLM认证异常问题。

内容的提问来源于stack exchange，提问作者user2639643