WCF证书签名SOAP请求无Security标签问题求助

看了你的WCF配置代码和捕获的SOAP信封，问题根源出在安全绑定元素的配置逻辑错误，导致WCF没正确触发消息级安全处理，自然就不会生成Security头。下面给你拆解具体问题和修复方案：

第一个核心问题：错误地把主令牌加到了支持令牌集合里 #

你代码里有这么两行：

secBE.EndpointSupportingTokenParameters.Signed.Add(secBE.InitiatorTokenParameters);
secBE.EndpointSupportingTokenParameters.Signed.Add(secBE.RecipientTokenParameters);

MutualCertificateBindingElement本身已经把这两个令牌作为核心安全令牌——InitiatorToken是客户端用来签名的，RecipientToken是服务端用来加密的。你把它们重复加到支持令牌集合里，会让WCF的安全逻辑混乱，直接忽略了原本的主安全配置。支持令牌是用来加额外身份验证或声明的，不是干这个用的，这两行必须删掉。

第二个问题：令牌参数配置有重复冲突 #

你对客户端令牌的配置里，重复设置了X509ReferenceStyle：

istp.X509ReferenceStyle = X509KeyIdentifierClauseType.IssuerSerial;
// ... 中间其他设置 ...
istp.X509ReferenceStyle = X509KeyIdentifierClauseType.SubjectKeyIdentifier;

最后一行直接覆盖了第一行的设置，虽然这不是Security头消失的直接原因，但会导致证书引用格式不符合预期，建议统一成你需要的样式。

修复后的完整配置代码 #

我把错误的部分删掉，整理了令牌配置，你可以直接用：

// 创建安全绑定元素
var secBE = (AsymmetricSecurityBindingElement)SecurityBindingElement.CreateMutualCertificateBindingElement(MessageSecurityVersion.WSSecurity10WSTrust13WSSecureConversation13WSSecurityPolicy12BasicSecurityProfile10);
secBE.MessageSecurityVersion = MessageSecurityVersion.WSSecurity10WSTrust13WSSecureConversation13WSSecurityPolicy12BasicSecurityProfile10;
secBE.EnableUnsecuredResponse = true;
secBE.SetKeyDerivation(false);
secBE.MessageProtectionOrder = MessageProtectionOrder.EncryptBeforeSign;
secBE.IncludeTimestamp = true; // 生成WS-Security头里的时间戳
secBE.DefaultAlgorithmSuite = SecurityAlgorithmSuite.TripleDesRsa15;
secBE.SecurityHeaderLayout = SecurityHeaderLayout.LaxTimestampFirst;
secBE.AllowSerializedSigningTokenOnReply = true;

// 配置客户端发起方令牌参数
if (secBE.InitiatorTokenParameters is X509SecurityTokenParameters istp)
{
    istp.X509ReferenceStyle = X509KeyIdentifierClauseType.SubjectKeyIdentifier;
    istp.InclusionMode = SecurityTokenInclusionMode.AlwaysToRecipient;
    istp.ReferenceStyle = SecurityTokenReferenceStyle.Internal;
}

// 配置服务端接收方令牌参数
if (secBE.RecipientTokenParameters is X509SecurityTokenParameters rstp)
{
    rstp.X509ReferenceStyle = X509KeyIdentifierClauseType.IssuerSerial;
}

// --- 删掉这两行错误代码 ---
// secBE.EndpointSupportingTokenParameters.Signed.Add(secBE.InitiatorTokenParameters);
// secBE.EndpointSupportingTokenParameters.Signed.Add(secBE.RecipientTokenParameters);

// 创建编码绑定元素
var textBE = new TextMessageEncodingBindingElement(MessageVersion.Soap11WSAddressing10, Encoding.UTF8);

// 创建传输绑定元素
var httpsBE = new HttpsTransportBindingElement
{
    RequireClientCertificate = true,
    AuthenticationScheme = System.Net.AuthenticationSchemes.Anonymous,
};

// 组装自定义绑定
var cbinding = new CustomBinding();
cbinding.Elements.Add(secBE);
cbinding.Elements.Add(textBE);
cbinding.Elements.Add(httpsBE);

// 配置终结点地址
var endpointIdentity = new DnsEndpointIdentity("mydns");
var addressHeaderColl = new AddressHeaderCollection();
var address = new EndpointAddress(new Uri("myuri"), endpointIdentity, addressHeaderColl);

// 创建通道工厂
var factory = new ChannelFactory<MyType>(cbinding, address);
var certClient = new X509Certificate2("locationofcertificate", "password");
var certService = new X509Certificate2("locationofcertificate");

// 关闭证书链验证（仅测试用，生产环境建议开启）
factory.Credentials.ServiceCertificate.Authentication.CertificateValidationMode = X509CertificateValidationMode.None;
factory.Credentials.ClientCertificate.Certificate = certClient;
factory.Credentials.ServiceCertificate.DefaultCertificate = certService;

// 添加自定义终结点行为
var behavior = new EndpointBehavior();
factory.Endpoint.Behaviors.Add(behavior);

return factory.CreateChannel();

额外要检查的点 #

1. 你的EndpointBehavior里有没有做什么操作会移除Security头？比如自定义消息检查器如果修改了SOAP信封，要确保没删掉Security部分。
2. 确认客户端证书有可用的私钥——没有私钥的话，WCF没法签名，也不会生成Security头。
3. 可以开启WCF的消息跟踪日志，看看有没有安全相关的警告或错误，比如令牌加载失败、配置不兼容之类的，能帮你快速定位问题。

按这个修复后，WCF应该就能正确生成带Security标签的SOAP请求了，里面会包含签名、时间戳和证书引用这些必要的安全内容。

内容的提问来源于stack exchange，提问作者Revenger1986