如何使用 Windows 身份验证防止重复的 HTTP 请求

Question

我正在开发基于 WCF 的客户端/服务器应用程序（WCF 是自托管的，而不是在 IIS 中）。

WCF 服务有一个将数据块上传到服务器的操作。合约大致是这样的：

void UploadChunk(int clientId, byte[] chunk);

我们正在使用 Windows 身份验证 (Kerberos/NTLM)，因此我们无法在此处使用流式传输。

绑定看起来像这样（客户端和服务器端）：

new BasicHttpBinding
{   
   Security = new BasicHttpSecurity
   {
      Mode = BasicHttpSecurityMode.TransportCredentialOnly,
      Transport = { ClientCredentialType = HttpClientCredentialType.Windows },
   },
   MaxReceivedMessageSize = 0x7fffffff,
   ReaderQuotas = { MaxArrayLength = 0x800000 },
};

客户端通过派生自System.ServiceModel.ClientBase<TChannel> 的代理对象与服务对话。

所有这些都可以正常工作，但我们观察到 WCF 客户端发送每个 HTTP 请求两次，一次没有 auth 标头，另一次使用正确的 auth 标头。这是有问题的，因为请求会非常大，而且这种行为会导致请求大小是实际块大小的两倍。

我已经发现 (https://weblog.west-wind.com/posts/2010/Feb/18/NET-WebRequestPreAuthenticate-not-quite-what-it-sounds-like) 将 WebRequest.PreAuthenticate 设置为 true 会记住 auth 标头并将其重用于后续请求。

但是，到目前为止，WCF 并未公开修改 WebRequest 实例的机制。

这个问题有什么解决办法吗？

Answer 1

对于 Windows 身份验证，您的第一个请求总会有一个质询响应 (401)。

如果您可以控制所有客户端，我认为最实用的解决方案是使用最少的负载实现操作。

操作void IsAuthenticated() 应该可以。对于每个客户端代理实例，您将在 UploadChunk 之前调用 IsAuthenticated。

IsAuthenticated 请求将使您通过401 质询响应，而无需发送大量有效负载，但将对连接进行身份验证。对该连接的后续请求将不会受到质疑。

编辑：

我描述的行为似乎只适用于 IIS 8。所以我仔细研究了两个 http.sys 跟踪，一个用于 IIS 托管服务，一个用于自托管服务。

IIS 托管服务似乎对身份验证进行了某种优化。使用身份验证器Sspi Authenticator 对连接的第一个请求进行身份验证。后续请求使用Fast Authenticator 进行身份验证。

自托管跟踪中不存在这些事件，这使我得出结论，自托管未针对 Windows 身份验证进行优化。

http.sys - trace IIS

http.sys - trace self host

然后我发现 this blog entry 提出了一个使用 NTLM、自定义绑定和 HTTP 传输的 unsafeConnectionNtlmAuthentication 设置的解决方案。如果您只愿意使用 NTLM 并且documentation 中突出显示的安全问题不是问题这似乎提供了您正在寻找的行为 http.sys 跟踪。

http.sys trace - self host with custom binding

对于服务器使用绑定

<customBinding>
    <binding name="myBinding">
      <textMessageEncoding messageVersion="Soap11" />
      <httpTransport authenticationScheme="Ntlm" unsafeConnectionNtlmAuthentication="true"/>
    </binding>
  </customBinding>

对于您的客户端，您可以使用具有 Ntlm 安全性的常规 basicHttpBinding：

<basicHttpBinding>
    <binding name="BasicHttpBinding_ITest">
      <security mode="TransportCredentialOnly">
        <transport clientCredentialType="Ntlm" />
      </security>
    </binding>
  </basicHttpBinding>

Answer 2

使用 HttWebRequest 调用 WCF 服务，手动创建完整的 SOAP 消息。这将允许将 PreAuthenticate 设置为 true。在没有负载的情况下进行第一次调用，Authenticate()。然后使用有效负载发出请求。