WCF 分散式開發步步為贏 (14)：WCF 安全程式設計核心概念總覽

前言

WCF 安全機制橫跨傳輸層與訊息層，整合 Windows 整合驗證、X.509 憑證、WS-Security 標準與自訂擴展。本文系統梳理安全開發必備知識圖譜，為後續實作奠基。

0. 安全開發必備基礎知識

參考延伸：《WSE3.0 構建 Web 服務安全》系列文章。

1. WCF 身分驗證機制

2. 傳輸安全模式

• Transport：HTTPS、TCP+SSL、NamedPipe。點對點加密，效能佳，不支援中繼節點端對端安全。
• Message：WS-Security，訊息層加密簽章，跨傳輸協定、端對端安全、支援豐富認證類型（含 IssuedToken），效能較低。
• TransportWithMessageCredential：傳輸層加密 + 訊息層認證（Mixed）。
• Both：雙層同時啟用，極高安全需求。

3. 繫結與安全模式對應表

• Net* 繫結預設 Transport；WS* 繫結預設 Message。
• BasicHttpBinding 相容舊版 ASMX；WSHttpBinding 支援 WS-Security 1.1、WS-SecureConversation。

4. Transport 模式客戶端認證對應

5. Message 模式客戶端認證對應

關鍵差異：Transport 不支援 IssuedToken，因其僅保護點對點傳輸，無法跨中繼節點傳遞 Token。

6. 總結

1. 安全基礎概念（加密、簽章、憑證、WS-Security）是開發門檻，建議先補齊。
2. WCF 繼承 WSE 3.0 安全模型，自訂驗證本質相同（重寫 Validate 方法）。
3. WCF 安全通道負責訊息加解密簽章，適配不同繫結與驗證場景。
4. 安全等級提升：Message 模式下 UserName、Certificate 等均強制要求服務憑證且需受信任，較舊技術門檻大增。

下篇將詳細講解 UserName 認證實作原理與代碼。