第九篇：WCF安全 - 自定义认证

接着上一篇，我们尝试一下用自定义用户名密码的方式来做安全认证，这样就不用受制于Windows的用户系统了。

首先需要说明的是，使用自定义用户名密码时，由于不能利用Windows用户系统的相关安全机制了，因此必须自己准备数字证书来处理数据加密。

1、准备数字证书

证书要求有可进行密钥交换的私钥，一般用makcert比较方便，自带的，也可以用OpenSSL或OpenSSL.Net一类的。本例中生成一个自签名的根证书，放入系统的受信根证书颁发机构区：

1. makecert -n "CN=192.168.90.81" -b 01/01/2012 -e 01/01/2050 -r -sky exchange -sr LocalMachine -ss Root -a sha1 
2.  
3. 参数含义： 
4.   -n 指定使用者为192.168.90.81，注意它必须和调用时指定的域名一致 
5.   -b 起始日期为2012-1-1 
6.   -e 失效日期为2050-1-1 
7.   -r 自签名 
8.   -sky exchange 指定是密钥交换型而不是签名型 
9.   -sr LocalMachine 存入本地计算机 
10.   -ss Root 存入受信任根证书颁发机构区 
11.   -a sha1 使用SHA1签名 

服务端要修改几处，首先是配置文件App.config：

1. <?xml version="1.0" encoding="utf-8" ?> 
2. <configuration> 
3.   <system.serviceModel> 
4.     <services> 
5. <!--在上一篇的基础上加了behaviorConfiguration，内容见后--> 
6.       <service name="Server.DataProvider" behaviorConfiguration="tcpBehavior"> 
7.         <endpoint address="" binding="netTcpBinding" contract="Server.IData" bindingConfiguration="tcpBinding" /> 
8.         <host> 
9.           <baseAddresses> 
10.             <add baseAddress="net.tcp://localhost:8081/wcf" /> 
11.           </baseAddresses> 
12.         </host> 
13.       </service> 
14.     </services> 
15.  
16.     <bindings> 
17.       <netTcpBinding> 
18.         <binding name="tcpBinding"> 
19.           <security mode="Message"> 
20. <!--与上一篇相比，认证类型从Windows改成了UserName--> 
21.             <message clientCredentialType="UserName" /> 
22.           </security> 
23.         </binding> 
24.       </netTcpBinding> 
25.     </bindings> 
26.  
27. <!--这是新加的节，用于指定用户名密码的验证方式--> 
28.     <behaviors> 
29.       <serviceBehaviors> 
30. <!--注意这个name是被前面使用的--> 
31.         <behavior name="tcpBehavior"> 
32.           <serviceCredentials> 
33. <!--指定验证方式为Custom，表示自定义，既然是自定义的，就要指出用哪个类进行用户名密码验证，这里指定了Server程序集中的Server.Validator类，注意这里类完整名称的写法-->
34.             <userNameAuthentication userNamePasswordValidationMode="Custom" customUserNamePasswordValidatorType="Server.Validator, Server" /> 
35. <!--指定用于数据加密的证书，LocalMachine表示本地计算机，Root表示受信任根证书颁发机构，192.168.90.81是证书标题(因为做证书时没指定标题，所以使用者默认就是标题)，FindBySubjectName表示按标题查找-->
36.             <serviceCertificate storeLocation="LocalMachine" storeName="Root" findValue="192.168.90.81" x509FindType="FindBySubjectName" /> 
37.          </serviceCredentials> 
38.         </behavior> 
39.       </serviceBehaviors> 
40.     </behaviors> 
41.   </system.serviceModel> 
42. </configuration> 

接下来是自定义的验证类，增加一个Validator类，它要继承System.IdentityModel.Selector.UserNamePasswordValidator基类。

1. using System; 
2. using System.IdentityModel.Selectors; 
3. using System.ServiceModel; 
4.  
5. namespace Server 
6. { 
7.     public class Validator : UserNamePasswordValidator 
8.     { 
9.         //重写Validate方法，这里简化处理，直接写死用户名密码，实际应用中应结合DB、配置文件等来做验证 
10.         public override void Validate(string userName, string password) 
11.         { 
12.             if(!string.Equals(userName, "root") || !string.Equals(password, "pass")) 
13.                 throw new Exception("Access Denied"); 
14.         } 
15.     } 
16. } 

最后我们还要小改一下契约接口的实现类，因为之前我们用WindowIdentity来识别登录用户，换用自定义用户名密码后，它不管用了，所以新的实现类是这样的：

1. using System; 
2. using System.ServiceModel; 
3.  
4. namespace Server 
5. { 
6.     [ServiceBehavior] 
7.     public class DataProvider : IData 
8.     { 
9.         public string SayHello() 
10.         { 
11.          //变化不大，用PrimaryIdentity来代替WindowIdentity 
12.             return string.Format("Hello {0}", OperationContext.Current.ServiceSecurityContext.PrimaryIdentity.Name); 
13.         } 
14.     } 
15. } 

OK，运行一下，应该能正常启动，如果失败，仔细看一下提示信息，一般都是证书问题。