WCF配置安全设置时出现ServiceModel安全协商异常：SOAP安全协商失败

你遇到的Security Negotiation Exception: SOAP security negotiation with for target failed报错属于WCF客户端和服务端安全握手阶段的配置不匹配问题，可按以下步骤逐层排查：

1. 校验端点身份标识配置 #

你当前配置的端点身份标识为：

<identity>
  <dns value="ROT ESB Msg Signature Stg" />
</identity>

• 首先核对该DNS值是否和服务端证书的主题名/使用者备用名称完全一致，大小写、空格都不能有差异，标识不匹配会直接导致安全协商终止
• 如果服务端证书用的是自定义主题名，可将identity节点替换为证书引用配置，直接匹配服务端证书指纹/主题名

2. 核对自定义绑定安全配置 #

你使用了customBinding类型的绑定，配置名称为ncsiCustomB，需确认以下配置和服务端完全对齐：

• 安全模式选择（传输安全/消息安全/混合安全）和服务端一致
• 消息安全的认证方式（证书认证/用户名认证/Windows认证）、加密算法套件和服务端配置相同
• 若使用HTTPS传输安全，需确认客户端信任服务端的SSL证书：证书未过期、未吊销、证书链完整，客户端可正常访问服务端地址的HTTPS站点无证书告警

3. 检查端点行为的凭证配置 #

你配置了endpointBehavior行为，需确认客户端凭证配置正确：

• 若使用证书认证，需确认客户端证书已安装在对应存储区（当前用户/本地计算机），WCF运行进程有证书私钥的读取权限
• 若使用用户名密码认证，需确认代码中设置的ClientCredentials.UserName参数为服务端认可的有效值

4. 临时关闭协商定位问题 #

若暂时无法定位根因，可先在自定义绑定的安全节点中添加配置，临时关闭安全协商验证基础连通性：

<security authenticationMode="UserNameForCertificate" 
          negotiateServiceCredential="false"
          establishSecurityContext="false" />

修改后如果可以正常调用，说明问题出在安全协商的参数配置上，再针对性调整协商相关的服务端/客户端匹配逻辑即可。

调试辅助技巧 #

可开启WCF内置跟踪日志，查看协商过程中更详细的错误栈信息，定位具体是证书信任、凭证无效还是配置不匹配导致的失败。

内容的提问来源于stack exchange，提问作者ghalib ali