WCF ServiceAuthenticationManager 可扩展性

Question

我想为 wcf 实现我的自定义安全性，我想使用 ServiceAuthenticationManager，但我很困惑它如何阻止消息。我试图抛出异常，但那时我无法获得我的异常详细信息，我只是得到“请求休息调用中的错误”和soap调用中的“调用者未通过服务身份验证”，但我无法获取自定义错误错误消息，ServiceAuthenticationManager的正确用法是什么，或者我应该在哪里阻止消息？

public class MyAuthenticationManager :  ServiceAuthenticationManager
{
    public override ReadOnlyCollection<IAuthorizationPolicy> Authenticate(ReadOnlyCollection<IAuthorizationPolicy> authPolicy, Uri listenUri, ref Message message)
    {
        //throw new AuthenticationException("Credentials expired!");
        throw new SecurityException("my custom message:Invalid authentication");
        return base.Authenticate(authPolicy, listenUri,ref message);
    }
}

Answer 1

身份验证/授权不提供自定义消息。 为什么您未获得授权或身份验证的任何指示都是攻击者破解您的安全或获取他无权获得的信息的一种方式。

例如说“您的密码错误”表示用户名存在。那很不好。未经授权的请求永远不应该得到这样的信息作为响应。

如果您想查看问题所在，请写入服务器管理员可以访问的日志。但是不要向客户发送任何东西。永远。

所以总结一下：不，你不能得到一个自定义的消息，而且那个设计是故意的。