如何从WCF自定义IAuthorizationPolicy向客户端返回有意义的错误

这个问题我之前也碰到过！当你在自定义IAuthorizationPolicy的Evaluate方法里只返回false时，WCF出于安全默认会把授权失败的细节隐藏起来，只给客户端返回那种模糊的内部错误提示。下面给你几个实用的解决方案，让客户端能收到明确的授权失败信息：

方案一：直接抛出带明确信息的FaultException #

这是最直接的方式——在授权失败时，主动抛出包含具体错误描述的FaultException，替代单纯返回false的操作。

基础版（快速调试/简单场景） #

public bool Evaluate(EvaluationContext evaluationContext, ref object state)
{
    // 你的授权校验逻辑
    bool isAuthorized = ValidateUserCredentials(evaluationContext);
    
    if (!isAuthorized)
    {
        // 抛出带明确提示的异常
        throw new FaultException("您没有访问该服务的权限，请检查您的身份凭据是否有效。");
    }

    // 授权成功：将合法身份注入上下文
    evaluationContext.Properties["Principal"] = new GenericPrincipal(
        new GenericIdentity("authorized_user"), 
        new string[] { "ServiceUser" }
    );
    return true;
}

生产环境规范版（自定义FaultContract） #

如果是正式生产环境，建议定义标准的错误契约，让错误返回更规范、更安全：

1. 先定义错误数据契约：

[DataContract]
public class AuthorizationFault
{
    [DataMember]
    public string ErrorMessage { get; set; }
    
    [DataMember]
    public DateTime ErrorTime { get; set; } = DateTime.Now;
}

2. 在服务契约的操作上声明FaultContract：

[ServiceContract]
public interface IMyService
{
    [OperationContract]
    [FaultContract(typeof(AuthorizationFault))]
    string GetServiceData();
}

3. 在授权失败时抛出对应类型的FaultException：

if (!isAuthorized)
{
    var faultDetail = new AuthorizationFault
    {
        ErrorMessage = "您的账号无权限访问当前服务接口，请联系管理员申请权限。"
    };
    throw new FaultException<AuthorizationFault>(faultDetail, "授权验证失败");
}

方案二：用IErrorHandler统一处理授权错误 #

如果不想在授权策略里直接抛出异常，可以先记录错误信息，再通过IErrorHandler统一拦截并返回自定义错误：

1. 在Evaluate方法中记录授权失败原因：

public bool Evaluate(EvaluationContext evaluationContext, ref object state)
{
    bool isAuthorized = ValidateUserCredentials(evaluationContext);
    
    if (!isAuthorized)
    {
        // 将错误信息存入上下文属性
        evaluationContext.Properties["AuthorizationError"] = "身份验证未通过，拒绝访问服务";
        return false;
    }

    evaluationContext.Properties["Principal"] = new GenericPrincipal(
        new GenericIdentity("authorized_user"), 
        new string[] { "ServiceUser" }
    );
    return true;
}

2. 实现IErrorHandler接口捕获并处理错误：

public class AuthorizationErrorHandler : IErrorHandler
{
    public bool HandleError(Exception error)
    {
        // 返回true表示已处理该错误，不再向上传递
        return error is SecurityTokenException;
    }

    public void ProvideFault(Exception error, MessageVersion version, ref Message fault)
    {
        if (error is SecurityTokenException)
        {
            // 从上下文取出之前记录的错误信息
            var authContext = OperationContext.Current.ServiceSecurityContext.AuthorizationContext;
            string errorMsg = authContext.Properties.ContainsKey("AuthorizationError")
                ? authContext.Properties["AuthorizationError"].ToString()
                : "授权验证失败";

            // 构造自定义Fault返回
            var faultDetail = new AuthorizationFault { ErrorMessage = errorMsg };
            fault = Message.CreateMessage(
                version, 
                new FaultCode("AuthorizationFailed"), 
                errorMsg, 
                faultDetail
            );
        }
    }
}

3. 将ErrorHandler注册到服务行为中：

public class CustomServiceBehavior : IServiceBehavior
{
    public void ApplyDispatchBehavior(ServiceDescription serviceDescription, ServiceHostBase serviceHostBase)
    {
        foreach (ChannelDispatcher dispatcher in serviceHostBase.ChannelDispatchers)
        {
            dispatcher.ErrorHandlers.Add(new AuthorizationErrorHandler());
        }
    }

    // 其他接口方法空实现即可
    public void AddBindingParameters(ServiceDescription serviceDescription, ServiceHostBase serviceHostBase, Collection<ServiceEndpoint> endpoints, BindingParameterCollection bindingParameters) { }
    public void Validate(ServiceDescription serviceDescription, ServiceHostBase serviceHostBase) { }
}

4. 在ServiceHost中添加该行为：

var serviceHost = new ServiceHost(typeof(MyService));
serviceHost.Description.Behaviors.Add(new CustomServiceBehavior());
serviceHost.Open();

临时调试方案：开启异常详情返回 #

如果只是开发调试阶段需要看完整错误堆栈，可以临时开启IncludeExceptionDetailInFaults，但生产环境绝对不要开启，会暴露服务器内部细节：

通过特性开启 #

[ServiceBehavior(IncludeExceptionDetailInFaults = true)]
public class MyService : IMyService
{
    // 服务实现代码
}

通过配置文件开启 #

<configuration>
  <system.serviceModel>
    <behaviors>
      <serviceBehaviors>
        <behavior name="DebugServiceBehavior">
          <serviceDebug includeExceptionDetailInFaults="true" />
        </behavior>
      </serviceBehaviors>
    </behaviors>
  </system.serviceModel>
</configuration>

内容的提问来源于stack exchange，提问作者Thomas Levesque