IIS托管的WCF WSDualHttpBinding偶发403.4 SSL required错误

AccessPerms字段含义 #

AccessPerms是IIS WWW Server ETW事件中标识当前URL访问权限的位掩码字段，值为十进制，由多个权限标记按位或得到：

• 513 对应十六进制0x201，权限组合为「允许执行访问 + 无需SSL」，是正常请求的预期值
• 521 对应十六进制0x209，权限组合为「允许执行访问 + 要求SSL」，多出的0x8位就是IIS SSL Required的标记位，对应你遇到的403.4错误

触发AccessPerms=521的原因 #

这是IIS托管WCF服务的冷启动竞态已知问题：
机器重启或应用池回收后，WCF服务的激活注册逻辑和IIS的配置读取逻辑存在时序差：

1. 应用池刚启动时，WCF的.svc处理程序还没完成到IIS URL路由表的注册
2. 此时进入的请求无法匹配到WCF专属路径配置，IIS会 fallback 读取父级站点的默认配置，如果父级配置存在SSL要求记录、或者配置缓存加载不完全，就会误拿到要求SSL的配置
3. 1~2分钟后WCF服务完成激活，全路径配置合并完成，就能正确读取到你设置的sslFlags="None"，问题自动恢复，和你观察到的现象完全匹配。70次偶发1次的概率刚好对应冷启动阶段请求命中这个时序窗口的概率。

配置sslFlags=None仍偶发SSL要求的原因 #

你看到的WCFPool.config里的配置是应用池完全启动、配置合并完成后的最终值，但冷启动时序窗口中：

• IIS还未完成/Content/TestWcfClient.svc虚拟路径的配置合并，只会读取到上级路径的临时配置
• 部分IIS版本存在配置缓存BUG，冷启动阶段会误读取旧缓存中的sslFlags值，直到服务激活完成后缓存才会刷新

修复方案 #

• 显式将WCF服务所在的/Content/虚拟目录的IIS SSL设置为「不需要SSL」，并开启配置继承，避免父级配置干扰
• 将托管WCF的应用池启动模式设为AlwaysRunning，闲置超时设为0，避免应用池回收后反复冷启动
• 机器重启后主动发起一次WCF服务预热请求，避免业务流量命中冷启动时序窗口

内容的提问来源于stack exchange，提问作者Alois Kraus