我正在研究在WCF中啓用調試logging的安全隱患，特別是可以/將記錄哪些信息以及是否有任何配置可以用來緩解它。WCF調試日誌記錄敏感信息
說如果我們創建一個DataContract作爲WCF操作的一部分的Password屬性，我需要知道在爲請求和響應打開日誌記錄時是否以明文形式寫出屬性，以及是否在服務異常處於任何一層都會暴露這一切。
其他考慮因素包括：SSL或消息加密防止此日誌記錄或任何特殊綁定配置，行爲或掛鉤用於攔截並可能清理日誌。
原因是客戶端需要寫入磁盤的日誌不要包含他們的客戶密碼，因爲公司內安全性較低的人員可能會讀取它們。
謝謝
您必須區分MessageLogging和跟蹤。您的敏感數據似乎是消息數據的一部分。因此，當您打開消息日誌記錄功能時，您會在日誌中以明文形式看到敏感數據。
另一方面，追蹤更多的是關於WCF基礎設施事件。您的郵件內容不會被記錄在那裏。
以及由WCF運行時引發的異常：它們將永遠不會包含任何消息數據。默認情況下，由於安全考慮，向客戶端引發的異常絕對不包含任何信息。您必須在異常情況下明確包含要發送給客戶端的數據。我不確定如何攔截日誌和跟蹤，但WCF一定是非常可擴展的，所以我敢打賭，有一個擴展點將您的TracingBehavior注入框架的某處。
我認爲你應該爲PII信息追蹤創建一個自定義偵聽器 - 這是關於一些最好的practices（部分：記錄敏感信息）的好文章 - 因爲它看起來你也在使用WebHost。我相信，無論SSL如何，PII都會寫入日誌，但有辦法阻止未經授權的訪問。