将 JWT SecurityToken 传递给 WCF 客户端

我需要根据用户名/密码身份验证生成并向客户端颁发令牌。我尝试了多种方法来解决这个问题，但所有方法都遇到了问题。

我的第一个计划是在我的 WCF 端点上实施 WS-Trust Issue。我找到的示例使用了以下方法：

[OperationContract(Action = "http://schemas.xmlsoap.org/ws/2005/02/trust/RST/Issue",
                   ReplyAction = "http://schemas.xmlsoap.org/ws/2005/02/trust/RSTR/Issue")]
Message IssueToken(Message rstMessage);

但是，4.5 中对 WIF 进行的更改（将其集成到 .NET Framework 本身）破坏了将 Message 转换为 RequestSecurityToken 的示例代码的其余部分。 WSTrustRequestSerializer 似乎可以做到这一点，但它需要 WSTrustSerializationContext，并且关于如何创建或配置此上下文对象的信息很少。

我尝试简单地将我想要用于 SecurityToken 类型的 JWT 序列化为字符串并将其返回给客户端，但看起来将其反序列化为 WCF 可以使用的 SecurityToken 需要我在客户端上发送 JWTSecurityToken 和 Handler ，我想避免的事情。虽然 WS-Trust 绑定似乎以某种方式回避了这一点并生成 GenericXmlSecurityToken，但我似乎无法找到如何自己创建其中之一。

关于如何在 WS-Trust 中序列化/反序列化 RequestSecurityToken 和 RequestSecurityTokenResponse 对象，或者如何在 WS-Trust 框架之外序列化/反序列化令牌，有什么想法吗？或者其他想法？

我所做的是这样的： 我创建了自己的响应消息版本，其中包含创建 GenericXmlSecurityToken 所需的位。这通常是从 WSTrustChannel 返回的内容，因此这似乎是正确的做法。值得庆幸的是，包装 JWT 的 GenericXmlSecurityToken 的大多数参数都是 null；我只需要序列化令牌（在服务中的 JWTSecurityTokenHandler 上使用 WriteToken 进行序列化）以及 validFrom 和 validTo 值。

客户端代码：

XmlElement element = document.CreateElement("wsse", "BinarySecurityToken", "http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd");
element.SetAttribute("ValueType", "urn:ietf:params:oauth:token-type:jwt");
element.SetAttribute("EncodingType", "http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-soap-message-security-1.0#Base64Binary");
UTF8Encoding encoding = new UTF8Encoding();
element.InnerText = Convert.ToBase64String(encoding.GetBytes(jwtToken));

GenericXmlSecurityToken token = new GenericXmlSecurityToken(
    element,
    null,
    validFrom,
    validTo,
    null,
    null,
    null);

var binding = new WS2007FederationHttpBinding(WSFederationHttpSecurityMode.TransportWithMessageCredential);
binding.Security.Message.IssuedKeyType = SecurityKeyType.BearerKey;
binding.Security.Message.EstablishSecurityContext = false;
binding.Security.Message.IssuedTokenType = "urn:ietf:params:oauth:token-type:jwt";

var factory2 = new ChannelFactory<IService1>(binding, new EndpointAddress("https://localhost:44300/Service1.svc"));
factory2.Credentials.SupportInteractive = false;
factory2.Credentials.UseIdentityConfiguration = true;

var proxy = factory2.CreateChannelWithIssuedToken(token);

var info = proxy.DoWork();

web.config 的相关部分：

绑定：

<ws2007FederationHttpBinding>
  <binding>
    <security mode="TransportWithMessageCredential">
      <message issuedKeyType="BearerKey" establishSecurityContext="false" issuedTokenType="urn:ietf:params:oauth:token-type:jwt"/>
    </security>
  </binding>
</ws2007FederationHttpBinding>

身份模型部分：

<system.identityModel>
  <identityConfiguration>
    <audienceUris>
      <add value="--audienceUri--"/>
    </audienceUris>
    <securityTokenHandlers>
      <add type="--namespace--.CustomJWTSecurityTokenHandler, --my dll--" />
      <securityTokenHandlerConfiguration>
        <certificateValidation certificateValidationMode="PeerTrust"/>
      </securityTokenHandlerConfiguration>
    </securityTokenHandlers>
    <issuerNameRegistry>
      <trustedIssuers>
        <add name="--issuer--"  thumbprint="--thumbprint--"/>
      </trustedIssuers>
    </issuerNameRegistry>
  </identityConfiguration>
</system.identityModel>

以及此问题中的 CustomJWTSecurityTokenHandler （我的场景仅需要 validIssuer 部分）：如何使用对称密钥配置 Microsoft JWT？

我还没有看到在其他地方使用了issuedTokenType 属性，但我发现它对于让我的代码正常工作至关重要。如果没有它，我会收到此错误：“MessageSecurityException：找不到“Microsoft.IdentityModel.Tokens.JWT.JWTSecurityToken”令牌类型的令牌身份验证器。根据当前安全设置，无法接受该类型的令牌。”

作为一种解决方案，这可能有点过分了，但我认为它最大限度地减少了自定义代码的数量，并将其集中在我觉得更舒服的地方。

感谢user2338856 和leastprivilege 让我顺利完成任务！