.NET客户端调用带WS Security的Apache CXF WebService：无法解析展开密钥的KeyInfo

我之前帮好几个开发者解决过类似的问题，这个「无法解析用于展开密钥的KeyInfo」错误，大多是密钥交换环节的配置和Apache CXF服务端不匹配导致的，给你几个实用的排查和解决方向：

• 确保客户端正确持有服务端的公钥证书
  这是最常见的诱因：客户端没有拿到服务端用于加密会话密钥的公钥证书，或者证书加载方式不对。你需要：

  1. 联系服务方获取他们的公钥证书（通常是.cer格式的文件）
  2. 可以把证书导入到客户端机器的受信任根证书颁发机构存储，或者直接在代码中加载：

     ' 加载服务端公钥证书
     Dim serviceCert As New X509Certificate2("C:\path\to\service-public-key.cer")
     

  3. 在你的SecurityBindingElement中明确指定使用这个证书来验证服务端：

     oSecurity.RecipientToken = New X509SecurityTokenParameters(serviceCert)
     

• 对齐SecurityBindingElement的密钥交换配置与CXF服务端
  Apache CXF的WS-Security默认配置和.NET的默认设置经常有差异，你需要确保AsymmetricSecurityBindingElement的参数和服务端一致：

  • 检查KeyEntropyMode：如果服务端用的是联合熵模式，要显式设置：

    oSecurity.KeyEntropyMode = SecurityKeyEntropyMode.CombinedEntropy
    

  • 指定匹配的MessageSecurityVersion：CXF常用的版本是WSSecurity11WSTrustFebruary2005WSSecureConversationFebruary2005WSSecurityPolicy11，你可以手动指定：

    oSecurity.MessageSecurityVersion = MessageSecurityVersion.WSSecurity11WSTrustFebruary2005WSSecureConversationFebruary2005WSSecurityPolicy11
    

• 处理CXF可能的自定义KeyInfo格式
  有些CXF服务端会使用自定义的KeyInfo结构（比如用SubjectKeyIdentifier而不是默认的IssuerSerial），.NET的默认解析器可能识别不了。这种情况下你可以自定义SecurityTokenResolver来适配：

  1. 创建一个继承自SecurityTokenResolver的自定义解析器，重写TryResolveSecurityToken方法，专门处理服务端返回的KeyInfo格式
  2. 把这个解析器绑定到你的Binding上：

     Dim customResolver As New CustomKeyInfoResolver(serviceCert)
     oSecurity.SetKeyInfoResolver(customResolver)
     

• 开启日志定位细节
  如果上面的方法都没解决，建议开启.NET的WCF消息日志，查看SOAP请求和响应中的KeyInfo具体结构，这样能精准定位问题。在你的app.config中添加如下配置：

  <system.diagnostics>
    <sources>
      <source name="System.ServiceModel.MessageLogging" switchValue="Verbose">
        <listeners>
          <add name="wcfLog" type="System.Diagnostics.XmlWriterTraceListener" initializeData="C:\logs\wcf_soap_messages.log" />
        </listeners>
      </source>
    </sources>
  </system.diagnostics>
  

内容的提问来源于stack exchange，提问作者Morcilla de Arroz