WCF客户端通过NTLM认证代理失败问题求助

看你已经折腾了不少配置方案，但应该是几个关键配置的组合没到位，导致WCF没能触发完整的NTLM代理握手流程。下面是经过验证的可行方案，能让WCF自动完成和代理的认证交互：

核心配置逻辑 #

WCF要实现自动NTLM代理认证，必须同时满足安全模式匹配、代理凭据类型明确、凭据来源正确这三个条件，缺一不可：

1. 选对安全模式 #

如果你的服务是HTTP而非HTTPS，必须将安全模式设为TransportCredentialOnly——这和浏览器的交互逻辑一致，WCF才会明文传输代理认证所需的NTLM消息。

2. 明确代理凭据类型 #

注意区分ProxyCredentialType（针对代理的凭据类型）和ClientCredentialType（针对服务端的凭据类型）：你需要把代理的凭据类型设为Ntlm，如果服务端本身不需要认证，服务端的凭据类型可以设为None。

3. 确保凭据能被正确获取 #

要么直接用当前登录用户的凭据（和你浏览器能正常访问的逻辑一致），要么手动指定代理要求的域/用户名/密码。

配置文件示例（app.config/web.config） #

<system.serviceModel>
  <bindings>
    <basicHttpBinding>
      <binding name="BasicHttpWithNtlmProxy">
        <!-- 可手动指定代理地址，或用默认代理 -->
        <proxy address="http://你的代理地址:端口" bypassonlocal="true" />
        <security mode="TransportCredentialOnly">
          <transport 
            clientCredentialType="None"  <!-- 服务端无需认证则设为None -->
            proxyCredentialType="Ntlm"   <!-- 关键：代理用NTLM认证 -->
            />
        </security>
      </binding>
    </basicHttpBinding>
  </bindings>
  <client>
    <endpoint 
      address="http://你的服务地址"
      binding="basicHttpBinding"
      bindingConfiguration="BasicHttpWithNtlmProxy"
      contract="你的服务契约接口" />
  </client>
</system.serviceModel>

<!-- 可选：全局配置默认代理和凭据，让所有HTTP请求复用 -->
<system.net>
  <defaultProxy useDefaultCredentials="true">
    <proxy proxyaddress="http://你的代理地址:端口" bypassonlocal="true" />
  </defaultProxy>
</system.net>

代码配置示例 #

如果习惯用代码动态配置：

// 创建绑定并设置安全模式
var binding = new BasicHttpBinding(BasicHttpSecurityMode.TransportCredentialOnly);

// 配置代理凭据类型为NTLM
binding.Security.Transport.ProxyCredentialType = HttpProxyCredentialType.Ntlm;

// 方式1：使用当前登录用户的凭据（和浏览器一致，最省心）
binding.UseDefaultProxy = true;
binding.UseDefaultCredentials = true;

// 方式2：手动指定代理凭据（如果需要用不同账号）
// binding.ProxyAddress = new Uri("http://你的代理地址:端口");
// var client = new 你的服务客户端(binding, new EndpointAddress("http://你的服务地址"));
// client.ClientCredentials.Windows.ClientCredential = new NetworkCredential("用户名", "密码", "域名");

// 调用服务
using (var client = new 你的服务客户端(binding, new EndpointAddress("http://你的服务地址")))
{
    var result = client.你的服务方法();
}

常见踩坑点 #

• 混淆ProxyCredentialType和ClientCredentialType：很多人会错误地修改服务端的凭据类型，但代理认证只关心ProxyCredentialType。
• 安全模式选错：如果是HTTP服务，用Transport模式会导致WCF尝试加密传输，和代理的NTLM逻辑冲突，必须用TransportCredentialOnly。
• 未启用默认凭据：UseDefaultCredentials=true会让WCF自动复用当前用户的凭据，这和你浏览器能正常访问的逻辑完全匹配，是最不容易出错的方式。

配置完成后再用Fiddler抓包，应该能看到WCF自动发送NTLM的Type1、Type3消息，完成完整的握手流程，不再抛出代理认证异常。

内容的提问来源于stack exchange，提问作者Bow7012