Catch-22 zapobiega przesyłaniu strumieniowej usługi TCP WCF przez WIF;

WCF ma gotchas w kilku obszarach z streamingu (patrzÄ™ na Ciebie, MTOM¹) ze wzglÄ™du na fundamentalny problem w jaki sposób nie wykonuje preautoryzacji w sposób, w jaki wiÄ™kszość ludzi uważa, że powinno dziaÅ‚ać (wpÅ‚ywa to tylko na kolejne proÅ›by o ten kanaÅ‚, a nie pierwsze żądanie) Ok, wiÄ™c nie jest to dokÅ‚adnie twój problem, ale proszÄ™ podążać za nim, jak dojdÄ™ do twojego na koÅ„cu. Normalnie wyzwanie HTTP dziaÅ‚a tak:

1. klient atakuje serwer anonimowo
2. serwer says, sorry, 401, I need authentication
3. klient atakuje serwer tokenem uwierzytelniania
4. serwer akceptuje.

Teraz, jeśli kiedykolwiek spróbujesz włączyć strumieniowanie MTOM na punkcie końcowym WCF na serwerze, nie będzie to narzekać. Ale, kiedy skonfigurujesz go na kliencie proxy (jak powinieneś, muszą dopasować wiązania) wybuchnie ognistą śmiercią. Powodem tego jest to, że powyższa sekwencja zdarzeń, którym WCF stara się zapobiec, jest następująca:

1. client streams 100MB plik do serwera anonimowo w jednym poście
2. serwer mówi Przepraszam, 401, potrzebuję uwierzytelnienia
3. klient ponownie przesyła 100MB pliku do serwera z nagłówkiem uwierzytelniania
4. serwer akceptuje.

Zauważ, że właśnie wysłałeś 200MB na serwer, gdy potrzebowałeś tylko wysłać 100MB. W tym problem. Odpowiedzią jest wysłanie uwierzytelnienia przy pierwszej próbie, ale nie jest to możliwe w WCF bez napisania niestandardowego zachowania. W Każdym Razie, Ja dygresja.

Twój Problem

Po pierwsze, powiem ci, że to, czego próbujesz, jest niemożliwe.². A teraz, żebyÅ› przestaÅ‚ krÄ™cić koÅ‚ami, powiem ci dlaczego: {]} Uderza mnie, że teraz bÅ‚Ä…dzisz w podobnej klasie problemów. JeÅ›li wÅ‚Ä…czysz zabezpieczenie poziomu wiadomoÅ›ci, Klient musi zaÅ‚adować caÅ‚y strumieÅ„ danych do pamiÄ™ci, zanim bÄ™dzie mógÅ‚ faktycznie zamknąć wiadomość za pomocÄ… zwykÅ‚ej funkcji skrótu i podpisu xml wymaganego przez WS-security. JeÅ›li musi odczytać caÅ‚y strumieÅ„, aby podpisać pojedynczÄ… wiadomość (która tak naprawdÄ™ nie jest wiadomoÅ›ciÄ…, ale jest pojedynczym ciÄ…gÅ‚ym strumieniem), możesz zobaczyć problem tutaj. WCF bÄ™dzie musiaÅ‚ streamować go raz "lokalnie", aby obliczyć bezpieczeÅ„stwo wiadomoÅ›ci, a nastÄ™pnie streamować go ponownie, aby wysÅ‚ać go do serwera. Jest to oczywiÅ›cie niemÄ…dra rzecz, wiÄ™c WCF nie pozwala na zabezpieczenie poziomu komunikatów dla strumieniowania danych.

Więc, prosta odpowiedź jest taka, że należy wysłać token albo jako parametr do początkową usługę internetową, lub jako nagłówek SOAP i użyć niestandardowego zachowania, aby ją zweryfikować. Nie możesz użyć WS-Security, aby to zrobić. Szczerze mówiąc, nie jest to tylko kwestia WCF - nie widzę, jak mogłoby to działać praktycznie dla innych stosów.

RozwiÄ…zanie problemu MTOM

To tylko dla przykładu, jak rozwiązałem problem streamingu MTOM dla podstawowego uwierzytelniania, więc być może mógłbyś wziąć to na siebie i zaimplementować coś podobnego dla Twojego problemu. Sednem tego jest to, że w aby włączyć niestandardowego Inspektora wiadomości, musisz wyłączyć wszystkie pojęcia bezpieczeństwa na serwerze proxy klienta (pozostaje on włączony na serwerze) oprócz poziomu transportu (SSL): {]}

this._contentService.Endpoint.Behaviors.Add(
    new BasicAuthenticationBehavior(
        username: this.Settings.HttpUser,
        password: this.Settings.HttpPass));
var binding = (BasicHttpBinding)this._contentService.Endpoint.Binding;
binding.Security.Mode = BasicHttpSecurityMode.Transport; // SSL only            
binding.Security.Transport.ClientCredentialType = 
   HttpClientCredentialType.None; // Do not provide

Zauważ, że wyłączyłem tutaj ochronę transportu, ponieważ sam będę to zapewniał za pomocą Inspektora wiadomości i niestandardowego zachowania:

internal class BasicAuthenticationBehavior : IEndpointBehavior
{
    private readonly string _username;
    private readonly string _password;

    public BasicAuthenticationBehavior(string username, string password)
    {
        this._username = username;
        this._password = password;
    }
    public void AddBindingParameters(ServiceEndpoint endpoint, 
        BindingParameterCollection bindingParameters) { }
    public void ApplyClientBehavior(ServiceEndpoint endpoint,
        ClientRuntime clientRuntime)
    {
        var inspector = new BasicAuthenticationInspector(
            this._username, this._password);
        clientRuntime.MessageInspectors.Add(inspector);
    }
    public void ApplyDispatchBehavior(ServiceEndpoint endpoint,
        EndpointDispatcher endpointDispatcher) { }
    public void Validate(ServiceEndpoint endpoint) { }
}

internal class BasicAuthenticationInspector : IClientMessageInspector
{
    private readonly string _username;
    private readonly string _password;

    public BasicAuthenticationInspector(string username, string password)
    {
        this._username = username;
        this._password = password;
    }

    public void AfterReceiveReply(ref Message reply,
        object correlationState) { }

    public object BeforeSendRequest(ref Message request,
        IClientChannel channel)
    {
        // we add the headers manually rather than using credentials 
        // due to proxying issues, and with the 101-continue http verb 
        var authInfo = Convert.ToBase64String(
            Encoding.Default.GetBytes(this._username + ":" + this._password));

        var messageProperty = new HttpRequestMessageProperty();
        messageProperty.Headers.Add("Authorization", "Basic " + authInfo);
        request.Properties[HttpRequestMessageProperty.Name] = messageProperty;

        return null;
    }
}

Więc ten przykład jest dla każdego, kto cierpi z powodu problemu MTOM, ale także jako szkielet dla ciebie, aby zaimplementować coś podobnego do Uwierzytelnij token wygenerowany przez podstawową usługę WIF-secured token service.

Mam nadzieję, że to pomoże.

(1) Duże Dane i przesyłanie strumieniowe

(2) Bezpieczeństwo wiadomości w WCF (patrz " wady.")