如何为.NET Web Service添加WS-Security并获取UsernameToken？

获取SOAP请求中UsernameToken的实现方法 #

根据你使用的.NET技术栈不同，有两种常用实现方式：

1. ASP.NET ASMX 传统Web Service场景 #

你可以直接在Web方法中读取请求输入流解析XML节点，代码示例如下：

using System.Xml;
using System.Web;

[WebMethod]
public string YourDemoMethod()
{
    // 重置请求流读取位置
    HttpContext.Current.Request.InputStream.Position = 0;
    XmlDocument soapDoc = new XmlDocument();
    soapDoc.Load(HttpContext.Current.Request.InputStream);

    // 注册WS-Security官方命名空间
    XmlNamespaceManager nsMgr = new XmlNamespaceManager(soapDoc.NameTable);
    nsMgr.AddNamespace("wsse", "http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd");

    // 提取用户名密码
    string username = soapDoc.SelectSingleNode("//wsse:Username", nsMgr)?.InnerText;
    string password = soapDoc.SelectSingleNode("//wsse:Password", nsMgr)?.InnerText;

    // 你的业务逻辑
    return $"接收到用户{username}的请求";
}

2. WCF 服务场景 #

WCF原生支持WS-Security规范，你无需手动解析XML，只需要在服务配置中开启用户名验证模式，就可以直接从安全上下文中获取身份信息：

// 服务方法内直接读取
var userIdentity = ServiceSecurityContext.Current.PrimaryIdentity;
string username = userIdentity.Name;
// 密码验证可以通过继承UserNamePasswordValidator自定义实现

如果是.NET Core/.NET 5+环境使用SoapCore搭建SOAP服务，实现逻辑和ASMX类似，通过自定义消息拦截器读取SOAP头解析即可。

.NET平台实现WS-Security的可行方案 #

• WCF原生实现：.NET Framework环境下首选方案，官方原生兼容WS-Security全套规范，支持用户名令牌、X.509证书加密签名、消息级安全等特性，仅通过配置即可快速实现，无需手动处理SOAP报文。
• ASMX自定义扩展实现：针对存量老旧ASMX服务项目，可通过自定义SOAP扩展、全局HTTP拦截器统一处理所有请求的WS-Security头验证，不用重构现有服务代码。
• SoapCore扩展实现：.NET Core/.NET 5+环境下没有原生WCF服务端支持，可借助SoapCore库搭建SOAP服务，自定义消息拦截器解析WS-Security头，还可对接ASP.NET Core自带的身份验证体系。
• 第三方类库实现：对于特殊场景的自定义需求，可使用成熟的WS-Security处理类库完成安全头的生成、解析、验证逻辑，避免手动处理XML命名空间、报文格式的兼容性问题。

内容的提问来源于stack exchange，提问作者Vanessa