为什么wcf不允许没有http模块，通过传输安全模式进行用户名/密码验证

Question

我想使用带有用户名/密码身份验证和ssl的传输安全模式，它可以正常使用Windows身份验证：

<transport clientCredentialType="Windows"/>

我在msdn上发现了一篇文章解释了如何使用传输安全模式进行用户名/密码身份验证，但需要自定义http模块。我感兴趣的是为什么没有默认的安全模式，如：

<transport clientCredentialType="Username"/>

如果我需要用户名/密码验证，我可以使用邮件安全模式，但如果所有网站都使用https / ssl进行身份验证，那么在wcf中这样做应该不会有问题。
提前谢谢。

Answer 1

这个问题被错误地问了。 WCF允许使用传输安全性和自定义用户名/密码验证。传输安全模式对给定的传输协议使用标准化的身份验证模式，HTTP没有任何标准化的“UserName”身份验证模式。它具有称为基本身份验证的等效模式：

<security mode="Transport">
  <transport clientCredentialType="Basic" />
</security>

默认情况下，Basic身份验证需要Windows帐户，但您可以使用custom UserNamePasswordValidator切换验证。问题是这只适用于自托管服务。在IIS中托管服务时它不起作用。这就是错误地提出这个问题的原因。问题不在WCF中，而是在IIS中。

在IIS中托管服务时，它负责身份验证和身份验证。 IIS中基本身份验证的默认模块仅支持Windows帐户。这就是为什么你需要自定义模块来使用非Windows帐户的原因。

正如@Marc在评论中提到的，您还可以使用TransportWithMessageCredential安全模式：

<security mode="TransportWithMessageCredential">
  <message clientCredentialType="UserName" />
</security>

在此方案中，不对传输协议执行身份验证。它是消息的一部分（它使用WS-Security的UserNameToken配置文件标准）。您可以再次使用自定义UserNamePasswordValidator，这次它适用于自托管和IIS托管的SOAP服务（SOAP是强制性要求）。