【发布时间】：2012-07-12 09:39:25
【问题描述】：
场景是我们有一个 WCF 服务，它使用我们构建的内部 Web 服务中的方法。
WCF 服务非常轻量级。
我们希望保护此 WCF 服务，以便只有某些客户端可以使用它（它当前位于面向公众的服务器上）。
我们没有能力在这个面向公众的服务器上安装证书，所以我们想知道最好使用的安全模型。
理想的想法是，它可以通过某种方式进行配置，以便客户端使用 WCF 服务简单地“传递”给内部 Web 服务的证书，因为这是在我们控制的服务器上，然后进行证书身份验证。
这可能吗..？如果没有，我们可以采用其他任何安全选项吗？
提前致谢。
【问题讨论】：
-
据我所知，您面向公众的 Web 服务器必须“接受”客户端证书。否则，客户端证书不可用于 WCF 行为（用于转发）。
-
那么这是否意味着无法设置公共服务器上的 IIS，因此客户端传递的证书“未检查”并简单地转发到内部服务器上？
-
不确定，我认为如果 IIS 处理它会在客户端证书上转发的请求，但不要引用我的话。但是，如果你有一个反向代理而不是 IIS，那么它只会转发请求。