WCF客户端是否支持OCSP装订？能否借此提升CRL校验性能？

首先直接给结论：可以通过OCSP装订提升吊销检查性能，但WCF的X509ServiceCertificateAuthentication.RevocationMode枚举本身并不直接控制OCSP的使用——因为证书吊销检查的具体实现是由底层系统的加密栈（Windows CryptoAPI或跨平台的OpenSSL）负责的，WCF只是触发检查的开关。

下面展开细节：

1. 理解RevocationMode的真实作用 #

你看到的NoCheck/Offline/Online这三个枚举值，其实是告诉WCF：

• NoCheck：完全跳过吊销检查
• Offline：只使用本地缓存的CRL数据做检查
• Online：允许向CA的吊销服务器请求最新的吊销信息

但至于底层用CRL还是OCSP（包括OCSP装订），这个决策权不在WCF，而在系统的证书验证配置里。

2. OCSP装订在WCF中的自动生效逻辑 #

如果你的SOAP服务在TLS握手阶段已经配置了OCSP装订（也就是把OCSP响应直接包含在TLS证书消息里），那么客户端的底层加密栈会自动识别并使用这个装订的响应来完成吊销检查——这时候哪怕WCF设置的是Online模式，也不会去下载完整的CRL，而是直接用装订的响应，性能自然就上去了（省去了CRL下载的带宽和延迟开销）。

3. 确保客户端能利用OCSP装订的配置 #

Windows系统（.NET Framework/.NET Core） #

Windows默认已经启用了OCSP支持，但可以通过组策略进一步优化：

• 打开本地组策略编辑器，导航到计算机配置 > Windows设置 > 安全设置 > 公钥策略 > 证书路径验证设置
• 在吊销选项卡中，勾选“允许使用联机证书状态协议(OCSP)”，并设置“优先使用OCSP而非CRL”
• 这样系统会优先尝试使用OCSP（包括装订的响应），只有当OCSP不可用时才 fallback 到CRL

跨平台（.NET Core/.NET 5+） #

跨平台下依赖OpenSSL的默认配置，OpenSSL本身支持OCSP和OCSP装订，只要服务端提供了装订的响应，客户端会自动使用，无需额外配置。

4. 特殊场景的自定义处理 #

如果你的需求是强制只使用OCSP，不允许 fallback 到CRL，那可能需要自定义证书验证逻辑：

• 注册WCF的ClientCredentials.ServiceCertificate.Authentication.CertificateValidationCallback
• 在回调函数中手动调用OCSP验证逻辑（可以使用X509Chain类，配置ChainPolicy来指定只使用OCSP）
  不过这种场景比较少见，一般默认的系统配置已经能满足性能优化的需求。

内容的提问来源于stack exchange，提问作者StefanOS