IIS托管WCF服务配置HTTPS+Windows身份验证适配WPF客户端问题

解决方案 #

报错根因 #

你遇到的The authentication header received from the server was 'Negotiate,NTLM'报错核心有两点：

• 客户端绑定配置未显式指定Windows凭据类型，和服务端配置不匹配
• 客户端身份标识（UPN）配置不符合域账号运行场景要求

一、服务端配置调整 #

1. 授权规则顺序修正

IIS授权规则为从上到下匹配，你现有规则顺序逻辑错误，调整为如下顺序即可：

• 拒绝：本地匿名用户
• 允许：本地逗号分隔的域用户列表
• 拒绝：本地所有用户
  删除最后一条「允许：继承的所有用户权限」，避免优先级冲突。

2. Web.config验证

你现有system.serviceModel配置无需修改，已经符合要求：wsHttpBinding使用Transport安全模式，指定传输层客户端凭据类型为Windows，同时开启了HTTPS元数据获取，支持客户端直接生成代理。

二、IIS配置调整 #

1. Negotiate与NTLM说明

• 测试场景：直接将Windows身份验证的提供程序顺序调整为NTLM在前、Negotiate在后，强制使用NTLM认证，无需额外配置即可运行
• 生产场景：优先保留Negotiate在前，会自动选择更安全的Kerberos协议，需要在域控制器上为应用池的域服务账号注册SPN，执行命令：

  setspn -S HTTP/modelkatalog.local 域名称\服务账号名
  setspn -S HTTPS/modelkatalog.local 域名称\服务账号名
  

  调试场景用自己的Windows账号跑应用池的话，就将SPN注册到你自己的域账号下。

2. 绑定与SSL配置

确认站点仅保留HTTPS绑定，同时在站点的「SSL设置」中勾选「要求SSL」，彻底禁止HTTP流量访问。

三、客户端配置调整 #

修改App.config的system.serviceModel节点，补全客户端凭据类型配置，删除多余的UPN标识即可：

<system.serviceModel>
    <bindings>
        <wsHttpBinding>
            <binding name="WSHttpBinding_ICatalogService">
                <security mode="Transport">
                    <!-- 新增这一行，和服务端配置对齐，指定用Windows凭据认证 -->
                    <transport clientCredentialType="Windows" />
                </security>
            </binding>
        </wsHttpBinding>
    </bindings>
    <client>
        <endpoint address="https://modelkatalog.local/CatalogService.svc"
                  binding="wsHttpBinding"
                  bindingConfiguration="WSHttpBinding_ICatalogService"
                  contract="CatalogService.ICatalogService"
                  name="WSHttpBinding_ICatalogService">
            <!-- 测试用NTLM的话直接删掉整个identity节点，用Kerberos再保留并填写正确的服务账号UPN -->
        </endpoint>
    </client>
</system.serviceModel>

调整后无需在代码中声明绑定和端点，直接执行var client = new CatalogServiceClient();即可完成实例化，WCF会自动读取配置，使用当前登录Windows用户的凭据完成认证。

四、绑定选型建议 #

你当前选择wsHttpBinding完全符合需求，更适配企业域环境的安全要求，无需更换为basicHttpBinding。如果后续需要兼容更旧的客户端，再考虑切换为basicHttpBinding，配置逻辑一致：仅需将安全模式设为Transport，传输层客户端凭据类型设为Windows即可。

内容的提问来源于stack exchange，提问作者Martin Kirk