如何在WCF和WIF中使用JWT令牌？

Mickaël Derriey 发表于 Dev

米卡·德瑞（MickaëlDerriey）

一般注意事项

我们正在使用IdentityServer3，到目前为止对此感到非常满意。
在MS和Thinktecture OWIN中间件的帮助下，我们已经非常轻松地保护MVC和ASP.NET Web API应用程序。

我们正在工作的客户端仍然有很多SOAP WCF服务，这就是我们遇到的问题。

设置

我不会说谎，我对WCF经验还很远，我只在非常基本的情况下使用过它-了解basicHttpBinding，没有传输或消息安全性。

这是我要实现的目标：

客户端从IdentityServer获取JWT访问令牌
令牌以某种方式最终出现在SOAP消息头中
WCF读取并验证令牌
WCF根据某些标准检查索赔并执行授权

我无法执行第三步。

服务器设置

我正在使用ws2007FederationHttpBinding带有TransportWithMessageCredential安全模式。消息中包含BearerKey，令牌的类型为urn:ietf:params:oauth:token-type:jwt
该服务使用WIF身份管道，在其中添加JwtSecurityTokenHandler了System.IdentityModel.Tokens.JwtNuGet包中的

客户端设置

STS发出的JWT令牌包装在BinarySecurityTokenXML元素中，而XML元素本身包装在GenericXmlSecurityElement
该令牌被用作的一个参数CreateChannelWithIssuedToken的ChannelFactory

怎么了

该令牌位于SOAP标头中，并传递给JwtSecurityTokenHandler。
但是然后抛出一个异常：

System.ServiceModel.Security.MessageSecurityException: Message security verification failed. ---> System.IndexOutOfRangeException: Index was outside the bounds of the array.
   at System.Xml.XmlBufferReader.GetChars(Int32 offset, Int32 length, Char[] chars)
   at System.Xml.XmlBufferReader.GetString(Int32 offset, Int32 length)
   at System.Xml.StringHandle.GetString()
   at System.Xml.XmlBaseReader.ReadEndElement()
   at System.ServiceModel.Security.ReceiveSecurityHeader.ExecuteFullPass(XmlDictionaryReader reader)
   at System.ServiceModel.Security.ReceiveSecurityHeader.Process(TimeSpan timeout, ChannelBinding channelBinding, ExtendedProtectionPolicy extendedProtectionPolicy)
   at System.ServiceModel.Security.TransportSecurityProtocol.VerifyIncomingMessageCore(Message&amp;amp; message, TimeSpan timeout)
   at System.ServiceModel.Security.TransportSecurityProtocol.VerifyIncomingMessage(Message&amp;amp; message, TimeSpan timeout)
   --- End of inner exception stack trace ---

在JustDecompiling之后，进一步读取SOAP标头中的XML元素时似乎出现了错误。奇怪的是令牌是最后一个元素。整个消息如下所示：

<s:Envelope xmlns:s="http://www.w3.org/2003/05/soap-envelope" xmlns:a="http://www.w3.org/2005/08/addressing" xmlns:u="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-utility-1.0.xsd">
    <s:Header>
        <a:Action s:mustUnderstand="1">http://tempuri.org/IService/GetListOfStrings</a:Action>
        <a:MessageID>urn:uuid:5c22d4e2-f9b8-451a-b4ca-a844f41f7231</a:MessageID>
        <ActivityId CorrelationId="554fc496-7c47-4063-9539-d25606f186b0" xmlns="http://schemas.microsoft.com/2004/09/ServiceModel/Diagnostics">1213dcd7-55b7-4153-8a6d-92e0922f76dd</ActivityId>
        <a:ReplyTo>
            <a:Address>http://www.w3.org/2005/08/addressing/anonymous</a:Address>
        </a:ReplyTo>
        <VsDebuggerCausalityData xmlns="http://schemas.microsoft.com/vstudio/diagnostics/servicemodelsink">uIDPo90CpMlUwLBOmEPkZ5C8fRQAAAAAVWkkf2rJS0qImBv+Yx1recUXdbBLjThDkAMkwfW3/2AACQAA</VsDebuggerCausalityData>
        <a:To s:mustUnderstand="1">https://localhost.fiddler:44322/Service.svc</a:To>
        <o:Security s:mustUnderstand="1" xmlns:o="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd">
            <u:Timestamp u:Id="_0">
                <u:Created>2015-05-21T06:41:45.362Z</u:Created>
                <u:Expires>2015-05-21T06:46:45.362Z</u:Expires>
            </u:Timestamp>
            <wsse:BinarySecurityToken ValueType="urn:ietf:params:oauth:token-type:jwt" EncodingType="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-soap-message-security-1.0#Base64Binary" xmlns:wsse="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd"><!-- Removed --></wsse:BinarySecurityToken>
        </o:Security>
    </s:Header>
    <s:Body>
        <GetListOfStrings xmlns="http://tempuri.org/" />
    </s:Body>
</s:Envelope>