.NET配置SOAP客户端：签名与加密双证书问题求助

我完全懂你这种被WCF各种配置坑折腾的感受——Java SOAP服务的双证书（签名+TLS加密）场景，在SoapUI里轻松搞定，到了WCF这里却步步踩坑，确实让人头疼。下面给你两种思路：要么换更省心的.NET库，要么把WCF的坑填上。

一、替代WCF的.NET库推荐 #

如果不想再和WCF的复杂配置较劲，这两个方案能帮你快速搞定：

1. ServiceStack #

ServiceStack对SOAP的支持比WCF灵活太多，内置了双证书场景的处理能力，不需要写一堆自定义类。

• TLS加密证书：直接通过HttpClientHandler的ClientCertificates添加，和普通HTTPS请求配置一样。
• 消息签名证书：用ServiceStack提供的SOAP消息签名API，只需要几行代码就能指定签名证书，不需要手动处理安全头的细节。
  整体配置逻辑和SoapUI的思路一致，上手成本低，很少出现版本不匹配这类奇怪问题。

2. HttpClient + 手动构建SOAP消息 #

如果不想引入第三方框架，直接用原生HttpClient也能搞定，虽然需要写点XML处理代码，但胜在完全可控：

• TLS加密：给HttpClientHandler添加对应证书即可。
• 消息签名：用System.Security.Cryptography.Xml命名空间下的API，手动给SOAP信封添加签名节点。
  这种方式完全绕开了WCF的各种默认行为限制，不会出现令牌不匹配、版本不一致这类框架层面的问题。

二、WCF现有问题的解决方案 #

如果必须用WCF，那我们逐个解决你遇到的两个问题：

1. 解决“传入消息的签名令牌与加密正文的令牌不一致” #

这个问题的核心是WCF默认会用同一个证书同时处理签名和加密，但你的服务要求两个不同证书。你需要在自定义安全组件里明确区分两者：

• 实现ClientCredentialsSecurityTokenManager的子类，重写CreateSecurityTokenProvider方法。
• 根据SecurityTokenRequirement的IsForSigning属性判断：如果是签名操作，返回签名证书的SecurityTokenProvider；如果是加密/传输操作，返回TLS加密证书的提供者。
  这样WCF就会分别用两个证书处理签名和加密，不会再出现令牌不匹配的错误。

2. 解决“传出消息版本与编码器版本不匹配” #

你说已经把自定义编码器的MessageVersion设为Soap11，但大概率是配置没有同步统一：

• 检查绑定配置：如果你用的是CustomBinding，确保绑定里的TextMessageEncodingBindingElement的MessageVersion和自定义编码器一致，都是MessageVersion.Soap11（即Soap11 + AddressingNone）。
• 修正自定义编码器：确保编码器的MessageVersion属性正确返回你设置的版本，不要让它默认返回Soap12。示例代码：

public class CustomMessageEncoder : MessageEncoder
{
    private readonly MessageEncoder _innerEncoder;
    private readonly MessageVersion _targetVersion;

    public CustomMessageEncoder(MessageEncoder innerEncoder, MessageVersion version)
    {
        _innerEncoder = innerEncoder;
        _targetVersion = version;
    }

    // 关键：返回正确的消息版本
    public override MessageVersion MessageVersion => _targetVersion;

    // 其他方法（如WriteMessage、ReadMessage）复用_innerEncoder的逻辑，再添加移除安全头的操作
}

• 替代方案：用IClientMessageInspector移除安全头
  自定义编码器很容易引入版本问题，其实你可以用更简单的IClientMessageInspector来移除安全头，不需要修改编码器：

  public class RemoveSecurityHeaderInspector : IClientMessageInspector
  {
      public object BeforeSendRequest(ref Message request, IClientChannel channel)
      {
          // 找到并移除安全头
          var securityHeader = request.Headers.FirstOrDefault(h => 
              h.Name == "Security" && 
              h.Namespace == "http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd");
          if (securityHeader != null)
          {
              request.Headers.Remove(securityHeader);
          }
          return null;
      }
  
      public void AfterReceiveReply(ref Message reply, object correlationState)
      {
          // 无需处理回复可留空
      }
  }
  

  然后把这个Inspector添加到客户端的EndpointBehavior里，这样既能移除安全头，又不会碰消息版本的配置，避免版本不匹配的问题。

内容的提问来源于stack exchange，提问作者Khaine