如何在WCF服务中获取客户端请求域名以验证调用者？

在WCF里要拿到请求方的域名，其实得看你的服务绑定类型和调用场景，我给你整理了几个靠谱的方案，你可以根据自己的情况选：

方案1：从HTTP请求的Referer头提取（适合Web客户端调用） #

如果你的WCF服务用的是HTTP类绑定（比如basicHttpBinding、wsHttpBinding、webHttpBinding），而且调用方是网页应用（比如浏览器发起的AJAX请求），通常请求会携带Referer头，你可以从中解析出调用方的域名：

1. 先在服务方法里拿到HTTP请求的相关属性：

var httpProp = OperationContext.Current.IncomingMessageProperties[HttpRequestMessageProperty.Name] as HttpRequestMessageProperty;

2. 接着提取Referer头并解析出域名：

if (httpProp != null)
{
    string refererHeader = httpProp.Headers[HttpRequestHeader.Referer];
    if (!string.IsNullOrWhiteSpace(refererHeader))
    {
        try
        {
            Uri refererUri = new Uri(refererHeader);
            string clientDomain = refererUri.Host; // 这里就能拿到类似"abd.web.com"的域名了
            // 接下来就可以用这个域名做身份验证啦
        }
        catch (UriFormatException)
        {
            // 万一Referer格式不对，记得处理这个异常
        }
    }
}

提醒一句：Referer头是可选的，要是调用方是桌面应用或者刻意屏蔽了这个头，那这个方案就失效了，所以不能把它当唯一依赖。

方案2：通过IP反向DNS解析（通用性强但可靠性有限） #

既然你已经能拿到客户端的IP，那可以试试通过DNS反向解析来获取对应的域名：

using System.Net;

// 把这里换成你实际拿到的客户端IP
string clientIp = "192.168.1.100"; 
try
{
    IPHostEntry hostEntry = Dns.GetHostEntry(clientIp);
    string clientDomain = hostEntry.HostName;
    // 这里得到的就是IP对应的反向解析域名
}
catch (SocketException)
{
    // 要是遇到无法解析的情况（比如IP没配反向记录、网络出问题），记得捕获异常
}

但这个方案有几个坑要注意： #

• 如果客户端在NAT网络后面（比如家里的宽带、企业内网），你拿到的IP其实是网关的公网IP，解析出来的是网关服务商的域名，不是客户端实际的域名。
• 有些IP根本没配置反向DNS记录，这时候要么抛异常，要么返回IP本身。
• DNS解析会拖慢接口响应速度，高并发场景下谨慎用。

方案3：让客户端主动传递域名（最可靠但需要客户端配合） #

要是前两种方案都满足不了你的需求，那可以修改服务契约，让客户端调用的时候主动把自己的域名传过来，同时搭配身份验证（比如证书、Token）防止伪造：

1. 先修改服务契约，加个域名参数：

[ServiceContract]
public interface IMyService
{
    [OperationContract]
    string MyServiceMethod(string clientDomain, /*其他业务参数*/);
}

2. 在服务实现里验证域名的合法性：

public class MyService : IMyService
{
    public string MyServiceMethod(string clientDomain, /*其他业务参数*/)
    {
        // 结合当前客户端的身份信息，验证这个域名是不是合法的
        if (IsValidDomain(clientDomain, GetCurrentClientIdentity()))
        {
            // 合法的话就处理业务逻辑
            return "Success";
        }
        else
        {
            throw new FaultException("Invalid client domain");
        }
    }

    // 自己实现的身份验证和域名校验方法
    private bool IsValidDomain(string domain, IIdentity clientIdentity)
    {
        // 这里写你的校验逻辑，比如对比授权的域名列表
        return true;
    }

    private IIdentity GetCurrentClientIdentity()
    {
        return OperationContext.Current.ServiceSecurityContext.PrimaryIdentity;
    }
}

这个方案是最靠谱的，但前提是客户端愿意配合传递域名，而且一定要加身份验证，不然恶意客户端随便填个域名就蒙混过关了。

额外小提醒 #

• 只有HTTP/HTTPS类型的绑定才能拿到HTTP相关的请求头，像netTcpBinding、netNamedPipeBinding这种非HTTP绑定就别想了。
• 处理域名的时候最好转成小写，避免大小写不一致导致验证出错。
• 如果是敏感业务场景，优先选方案3，前两种方案都有被伪造或者不可用的风险。

内容的提问来源于stack exchange，提问作者Abdullah Mansour