我的WCF服务是否安全？security mode="None"是否表示安全已禁用？

首先直接回答你的第一个问题：是的，当你把wsHttpBinding的security mode="None"时，确实禁用了这个绑定的所有内置安全功能。

wsHttpBinding默认的安全模式是Message，它会自动启用WS-Security相关的机制——比如对消息进行加密、签名，同时支持身份验证（比如Windows身份验证、证书验证等），以此来保障消息的保密性、完整性和服务的访问可控性。而一旦设置为None，这些安全机制都会被关闭。

接下来第二个问题：你的WCF服务现在处于不安全的状态，具体风险包括：

• 消息在网络传输过程中是明文的，任何能捕获网络流量的人都可以轻松读取甚至篡改你的服务请求/响应内容
• 没有身份验证机制，任何知道服务地址的客户端都可以随意调用你的服务接口，没有访问限制
• 缺少消息完整性校验，你无法确认收到的请求是否被第三方篡改过

当然，如果你的服务是部署在完全可信的内网环境（比如只有内部指定机器能访问，网络完全隔离），那这种配置可能暂时没问题，但如果服务要暴露到公网或者不可信的网络环境中，强烈建议你启用合适的安全模式：

• 如果想通过HTTPS保障传输安全，可以用security mode="Transport"，并配置对应的SSL证书
• 如果需要端到端的消息加密（比如中间有代理服务器的场景），可以用默认的Message模式，搭配合适的凭据类型
• 也可以选择TransportWithMessageCredential模式，结合HTTPS传输和消息层的身份验证

你当前的配置代码如下：

<system.serviceModel>
  <bindings>
    <wsHttpBinding>
      <binding name="MyBinding">
        <security mode="None" />
      </binding>
    </wsHttpBinding>
  </bindings>
</system.serviceModel>

内容的提问来源于stack exchange，提问作者martinm