WCF连接服务中ServicePointManager.ServerCertificateValidationCallback未执行问题

我懂你碰到的糟心事——明明设置了ServicePointManager.ServerCertificateValidationCallback，结果发起请求时这个回调完全没被调用，根本没法在证书出问题时让用户确认后继续操作。这其实是因为WCF在使用BasicHttpBinding的Transport安全模式时，会走自身的证书验证管道，并不依赖ServicePointManager的全局回调，尤其是在.NET Framework 4.5+或者.NET Core/.NET 5+版本里，这种情况表现得更明显。

下面是具体的解决步骤和修改后的代码：

步骤1：创建自定义证书验证器 #

首先我们得实现X509CertificateValidator，在这个类里处理证书验证逻辑，包括弹出提示让用户确认是否继续：

public class UserConfirmCertificateValidator : X509CertificateValidator
{
    public override void Validate(X509Certificate2 certificate)
    {
        // 构建证书链并检查有效性
        var chain = new X509Chain();
        chain.ChainPolicy.RevocationMode = X509RevocationMode.NoCheck; // 可根据实际需求调整吊销检查策略
        bool isChainValid = chain.Build(certificate);
        
        // 判断证书是否存在问题（示例逻辑，可根据实际场景扩展）
        if (!isChainValid || certificate.Subject.Equals(certificate.Issuer, StringComparison.OrdinalIgnoreCase))
        {
            Console.WriteLine("检测到证书异常：");
            foreach (var status in chain.ChainStatus)
            {
                Console.WriteLine($"- {status.StatusInformation}");
            }
            
            Console.Write("是否继续连接？(输入Y确认，其他则取消): ");
            var userInput = Console.ReadLine();
            if (string.IsNullOrEmpty(userInput) || !userInput.Equals("Y", StringComparison.OrdinalIgnoreCase))
            {
                throw new SecurityTokenValidationException("用户拒绝使用存在问题的证书");
            }
        }
    }
}

步骤2：在WCF客户端配置自定义验证器 #

接下来把这个验证器添加到WCF客户端的行为中，替换掉默认的证书验证逻辑：

static async Task Main(string[] args)
{
    var data = new DataSoapClient(DataSoapClient.EndpointConfiguration.DataSoap);
    data.Endpoint.Address = new EndpointAddress("https://open.helios.eu/demo/Data.asmx");
    
    // 配置绑定的安全模式
    var binding = data.Endpoint.Binding as BasicHttpBinding;
    binding.Security.Mode = BasicHttpSecurityMode.Transport;
    
    // 配置自定义证书验证行为
    var clientCredentials = data.ClientCredentials;
    clientCredentials.ServiceCertificate.Authentication.CertificateValidationMode = X509CertificateValidationMode.Custom;
    clientCredentials.ServiceCertificate.Authentication.CustomCertificateValidator = new UserConfirmCertificateValidator();
    
    try
    {
        var result = (await data.GetInfoAsync("GETREDIRECTINFO", string.Empty)).Body.GetInfoResult;
        Console.WriteLine(result);
    }
    catch (Exception ex)
    {
        Console.WriteLine($"请求失败：{ex.Message}");
    }
    finally
    {
        if (data.State != CommunicationState.Closed)
        {
            await data.CloseAsync();
        }
    }
}

为什么原来的方式不生效？ #

ServicePointManager.ServerCertificateValidationCallback是针对HttpWebRequest这类底层HTTP请求的全局回调，而WCF有自己独立的安全处理栈。当WCF使用Transport安全模式时，会直接参与SSL/TLS握手的验证流程，并不会触发ServicePointManager的回调，所以你之前写的MyServerCertificateValidationCallback根本不会被执行。

改用WCF自带的X509CertificateValidator自定义验证器，才能真正介入WCF的证书验证流程，实现你想要的“用户确认后继续请求”的逻辑。

内容的提问来源于stack exchange，提问作者Erik Parso