自托管WCF REST服务Basic Authentication：如何每次访问需验证凭据

这个问题本质是浏览器对Basic Auth的默认缓存机制在搞鬼——浏览器首次验证通过后，会把凭据缓存到当前会话里，后续请求会自动带上Authorization头，自然就不会再弹出验证框了。要让每次访问都强制验证，我们可以从服务端控制响应行为+确保无状态验证这两个方向来解决：

1. 阻止浏览器缓存凭据（关键步骤） #

我们可以通过自定义WCF消息检查器，在每个响应里添加禁止缓存的HTTP头，告诉浏览器不要缓存任何内容（包括凭据）。

实现自定义消息检查器 #

using System;
using System.ServiceModel;
using System.ServiceModel.Channels;
using System.ServiceModel.Description;
using System.ServiceModel.Dispatcher;
using System.Net;

namespace YourServiceNamespace
{
    public class NoCacheMessageInspector : IDispatchMessageInspector
    {
        // 接收请求时不需要做处理
        public object AfterReceiveRequest(ref Message request, IClientChannel channel, InstanceContext instanceContext)
        {
            return null;
        }

        // 发送响应前添加禁止缓存的头
        public void BeforeSendReply(ref Message reply, object correlationState)
        {
            var httpResponse = WebOperationContext.Current?.OutgoingResponse;
            if (httpResponse == null) return;

            // 设置禁止缓存的响应头
            httpResponse.Headers.Add(HttpResponseHeader.CacheControl, "no-cache, no-store, must-revalidate");
            httpResponse.Headers.Add(HttpResponseHeader.Pragma, "no-cache");
            httpResponse.Headers.Add(HttpResponseHeader.Expires, "0");
            // 额外添加WWW-Authenticate头，强化浏览器的验证提示
            httpResponse.Headers.Add("WWW-Authenticate", "Basic realm=\"YourServiceRealm\"");
        }
    }

    // 注册这个检查器为服务行为
    public class NoCacheBehavior : BehaviorExtensionElement, IEndpointBehavior
    {
        public void AddBindingParameters(ServiceEndpoint endpoint, BindingParameterCollection bindingParameters) { }

        public void ApplyClientBehavior(ServiceEndpoint endpoint, ClientRuntime clientRuntime) { }

        public void ApplyDispatchBehavior(ServiceEndpoint endpoint, EndpointDispatcher endpointDispatcher)
        {
            endpointDispatcher.DispatchRuntime.MessageInspectors.Add(new NoCacheMessageInspector());
        }

        public void Validate(ServiceEndpoint endpoint) { }

        public override Type BehaviorType => typeof(NoCacheBehavior);

        protected override object CreateBehavior() => new NoCacheBehavior();
    }
}

在配置文件中注册行为 #

如果你的服务是通过配置文件托管的，需要把上面的自定义行为注册进去：

<system.serviceModel>
  <extensions>
    <behaviorExtensions>
      <!-- 替换成你的命名空间和程序集名称 -->
      <add name="noCacheBehavior" type="YourServiceNamespace.NoCacheBehavior, YourServiceAssembly" />
    </behaviorExtensions>
  </extensions>
  <behaviors>
    <endpointBehaviors>
      <behavior name="RestServiceBehavior">
        <webHttp />
        <!-- 添加自定义的禁止缓存行为 -->
        <noCacheBehavior />
      </behavior>
    </endpointBehaviors>
  </behaviors>
  <!-- 其他服务、端点配置... -->
</system.serviceModel>

2. 确保服务是无状态的，每次请求重新验证 #

WCF默认可能会使用会话级实例（InstanceContextMode.PerSession），这会导致服务端保留验证状态。我们需要把服务设置为每次请求创建新实例，确保每次请求都重新验证凭据：

[ServiceContract]
public interface IYourRestService
{
    [OperationContract]
    [WebGet(ResponseFormat = WebMessageFormat.Json)]
    string GetServiceData();
}

// 设置为每次请求创建新实例，无状态
[ServiceBehavior(InstanceContextMode = InstanceContextMode.PerCall)]
public class YourRestService : IYourRestService
{
    public string GetServiceData()
    {
        // 每次请求都重新验证凭据
        if (!ValidateRequestCredentials())
        {
            WebOperationContext.Current.OutgoingResponse.StatusCode = HttpStatusCode.Unauthorized;
            return null;
        }

        return "{\"status\": \"success\", \"data\": \"Hello from WCF REST Service\"}";
    }

    private bool ValidateRequestCredentials()
    {
        var authHeader = WebOperationContext.Current?.IncomingRequest.Headers["Authorization"];
        if (string.IsNullOrEmpty(authHeader) || !authHeader.StartsWith("Basic "))
            return false;

        // 解析Basic Auth凭据
        var encodedCreds = authHeader.Substring(6);
        var creds = System.Text.Encoding.UTF8.GetString(Convert.FromBase64String(encodedCreds));
        var credParts = creds.Split(':');
        
        // 替换成你的实际验证逻辑
        return credParts.Length == 2 && credParts[0] == "validUser" && credParts[1] == "securePassword";
    }
}

3. 浏览器端的注意事项 #

即使做了上面的服务端配置，部分浏览器（比如Chrome）可能还是会在会话内缓存凭据。如果需要彻底强制每次都提示，除了服务端的配置，用户可以手动清除浏览器的缓存（或使用隐私窗口），但这不是服务端能控制的。我们能做的就是通过服务端的响应头，最大化地让浏览器不缓存凭据。

内容的提问来源于stack exchange，提问作者Rodrigo Fulanito