为未来的读者编辑：不幸的是，赏金奖励答案 不起作用；我现在对此无能为力。但请阅读我自己的答案 下面（通过测试）- 确认可以使用最少的代码更改
我们有一个完全采用 ASP.NET WebAPI 2.2 的 Azure 云服务 (WebRole)（无 MVC，前端是 Angular）。我们的一些控制器/REST端点通过SSL（客户端证书身份验证/相互身份验证）与第三方云服务通信，其余控制器/端点也通过SSL与HTML5/AngularJS前端通信（但更传统的服务器身份验证） SSL）。我们没有任何非 SSL 端点。我们通过云服务启动任务启用了客户端 SSL，例如：
IF NOT DEFINED APPCMD SET APPCMD=%SystemRoot%\system32\inetsrv\AppCmd.exe
%APPCMD% unlock config /section:system.webServer/security/access
问题：该设置是站点范围内的，因此即使用户点击第一页（例如https://domain.com https://domain.com，返回 angularJS 的 index.html）他们的浏览器要求他们提供客户端 SSL 证书。 （下图）
如果有办法
OR
我们服务器的 web.config 很复杂，但相关片段如下：
<system.webServer>
<security>
<access sslFlags="SslNegotiateCert" />
</security>
</system.webServer>
And the screenshot of the client hitting a regular WebAPI endpoint yet attempting client SSL Authentication (happens in any browser, Chrome, Firefox or IE)
不幸的是，克莱夫瑟里斯获得赏金的答案不起作用。它尝试在 HTTP 服务器管道/处理中工作得太晚以获取客户端证书，但是这个帖子 https://stackoverflow.com/questions/8719416/can-client-certificate-settings-be-configured-in-the-web-config给了我一些想法。
该解决方案基于web.config这需要对“目录”进行特殊处理（也适用于虚拟文件夹或 WebAPI 路由）。
这是所需的逻辑：
https://www.server.com/acmeapi/ https://www.server.com/acmeapi/** => 带有客户端证书的 SSL
https://www.server.com/ https://www.server.com/** => SSL
这是对应的配置
<configuration>
...
<system.webServer>
<!-- This is for the rest of the site -->
<security>
<access sslFlags="Ssl" />
</security>
</system.webServer>
<!--This is for the 3rd party API endpoint-->
<location path="acmeapi">
<system.webServer>
<security>
<access sslFlags="SslNegotiateCert"/>
</security>
</system.webServer>
</location>
...
</configuration>
奖励积分
上面将相应地设置 SSL 握手。现在，您仍然需要检查代码中的客户端 SSL 证书是否是您期望的证书。完成如下
控制器代码：
[RoutePrefix("acmeapi")]
[SslClientCertActionFilter] // <== key part!
public class AcmeProviderController : ApiController
{
[HttpGet]
[Route("{userId}")]
public async Task<OutputDto> GetInfo(Guid userId)
{
// do work ...
}
}
上面执行 SSL 客户端验证的实际属性如下。可用于装饰整个控制器或仅装饰特定方法。
public class SslClientCertActionFilterAttribute : ActionFilterAttribute
{
public List<string> AllowedThumbprints = new List<string>()
{
// Replace with the thumbprints the 3rd party
// server will be presenting. You can make checks
// more elaborate but always have thumbprint checking ...
"0011223344556677889900112233445566778899",
"1122334455667788990011223344556677889900"
};
public override void OnActionExecuting(HttpActionContext actionContext)
{
var request = actionContext.Request;
if (!AuthorizeRequest(request))
{
throw new HttpResponseException(HttpStatusCode.Forbidden);
}
}
private bool AuthorizeRequest(HttpRequestMessage request)
{
if (request==null)
throw new ArgumentNullException("request");
var clientCertificate = request.GetClientCertificate();
if (clientCertificate == null || AllowedThumbprints == null || AllowedThumbprints.Count < 1)
{
return false;
}
foreach (var thumbprint in AllowedThumbprints)
{
if (clientCertificate.Thumbprint != null && clientCertificate.Thumbprint.Equals(thumbprint, StringComparison.InvariantCultureIgnoreCase))
{
return true;
}
}
return false;
}
}