WCF证书认证接受同根CA所有证书、不校验配置指纹问题求助

问题根源说明 #

1. 配置中的<serviceCertificate>节点仅用于声明服务端自身的身份证书，完全不参与客户端证书的校验逻辑，你期望用该节点的thumbprint过滤客户端证书属于对配置项的功能误解。
2. 当前设置的certificateValidationMode="PeerTrust"校验逻辑为：只要客户端证书的信任链完整（根CA在服务端受信任根存储区），或证书存放在服务端「受信任的人」存储区就会通过校验，因此同根CA签发的所有证书都会被放行，符合你遇到的异常现象。

解决方案 #

如果你需要仅允许指定指纹的客户端证书访问服务，可选择以下两种方案：

方案1：内置白名单配置（无需额外编码）

修改serviceCredentials下的客户端证书校验配置，添加允许的客户端证书指纹白名单：

<serviceCredentials>
    <serviceCertificate findValue="e3fd612e42d9d4c464c4d1c2f9a26a4068b81ee6" storeLocation="LocalMachine" storeName="My" x509FindType="FindByThumbprint" />
    <clientCertificate>
        <authentication certificateValidationMode="ChainTrust" revocationMode="NoCheck" />
        <!-- 新增允许的客户端证书白名单，可添加多条 -->
        <allowedClientCertificates>
            <add findValue="替换为允许的客户端证书指纹1" storeLocation="LocalMachine" storeName="My" x509FindType="FindByThumbprint"/>
            <add findValue="替换为允许的客户端证书指纹2" storeLocation="LocalMachine" storeName="My" x509FindType="FindByThumbprint"/>
        </allowedClientCertificates>
    </clientCertificate>
</serviceCredentials>

说明：certificateValidationMode设为ChainTrust会先校验证书本身的合法性（是否过期、是否被信任）再匹配指纹，符合安全要求；如果仅需要校验指纹不需要校验证书合法性，可改为None，但不推荐。

方案2：自定义证书验证器（支持复杂校验逻辑）

如果需要自定义校验规则，可自行实现证书验证类：

1. 实现自定义验证逻辑

using System.IdentityModel.Selectors;
using System.IdentityModel.Tokens;
using System.Security.Cryptography.X509Certificates;

public class CustomClientCertificateValidator : X509CertificateValidator
{
    // 配置允许的客户端证书指纹白名单
    private readonly List<string> _allowedThumbprints = new List<string>
    {
        "允许的客户端指纹1".ToLower(),
        "允许的客户端指纹2".ToLower()
    };

    public override void Validate(X509Certificate2 certificate)
    {
        if (certificate == null)
            throw new ArgumentNullException(nameof(certificate));
        
        // 可选：先校验证书链合法性
        X509Chain chain = new X509Chain();
        chain.ChainPolicy.RevocationMode = X509RevocationMode.NoCheck;
        if (!chain.Build(certificate))
            throw new SecurityTokenValidationException("客户端证书信任链校验失败");
        
        // 校验指纹是否在白名单
        if (!_allowedThumbprints.Contains(certificate.Thumbprint.ToLower()))
            throw new SecurityTokenValidationException("客户端证书未被授权访问服务");
    }
}

2. 修改配置关联自定义验证器

<clientCertificate>
    <authentication 
        certificateValidationMode="Custom" 
        customCertificateValidatorType="你的命名空间.CustomClientCertificateValidator, 你的程序集名称"
        revocationMode="NoCheck" />
</clientCertificate>

注意事项 #

• 从证书详情页复制指纹时，需要删除首尾不可见的特殊字符，否则会导致匹配失败。
• 所有需要用到的证书需要提前导入到配置指定的存储区，且需要给WCF服务运行账户授予证书的读取权限。

内容的提问来源于stack exchange，提问作者Libin