使用TransportWithMessageCredential时，在受信任的人员存储中是否需要客户端证书

Question

我有一个WCF服务，其securitymode设置为TransportWithMessageCredential。

当客户端X509证书安装在服务器端的受信任人员库中时，此工作正常。

从此存储中删除客户端证书会导致客户端出现MessageSecurityException。

从Windows事件日志中归结为SecurityTokenValidationException：ID4257

• 令牌处理程序验证失败。
• cert不在受信任的人员商店中。
• 证书链建设失败
• 使用的证书具有无法验证的信任链

这是预期的行为还是客户端X509证书有问题？

我假设只要服务器上存在客户端X509的签名CA，就可以建立链信任。

Answer 1

否：

• 覆盖服务SecurityTokenHandler
• 使用您自己的策略和传入的客户端证书
构建X509链
• 随意验证链