ASP.NET Core 9证书认证失败（ERR_BAD_SSL_CLIENT_AUTH_CERT）求助

针对你遇到的ERR_BAD_SSL_CLIENT_AUTH_CERT错误及自定义验证逻辑未执行的问题，以下是几个关键的缺失配置点：

1. Kestrel 客户端证书模式未设置为强制要求 #

默认情况下，Kestrel的客户端证书模式为AllowCertificate（允许但不强制），需明确设置为RequireCertificate才能强制客户端提供证书，同时要在HTTPS端点配置中绑定该规则：

var builder = WebApplication.CreateBuilder(args);

builder.WebHost.ConfigureKestrel(options =>
{
    options.ListenAnyIP(5001, listenOptions =>
    {
        listenOptions.UseHttps(httpsOptions =>
        {
            // 强制客户端提供证书
            httpsOptions.ClientCertificateMode = ClientCertificateMode.RequireCertificate;
            // 注意：自定义验证逻辑不要在这里通过ClientCertificateValidation回调实现，
            // 需通过CertificateAuthentication中间件的OnCertificateValidated处理
        });
    });
});

2. 自签名证书未导入系统信任根证书库 #

你用New-SelfSignedCertificate生成的CN=Pragmateek证书，其根证书（自签证书本身即为根）未被系统信任，导致SSL握手阶段就被Kestrel拒绝，根本无法进入自定义验证逻辑。

解决步骤：

• 打开证书管理器（certmgr.msc），找到目标证书
• 将其导入本地计算机的「受信任的根证书颁发机构」存储区（注意不是当前用户存储区）

3. LaunchSettings.json 未启用客户端证书请求 #

通过dotnet run --launch-profile https启动时，launchSettings.json的https配置可能未开启客户端证书请求，会覆盖Kestrel的代码配置。需在Properties/launchSettings.json的https profile中添加配置：

{
  "profiles": {
    "https": {
      "commandName": "Project",
      "dotnetRunMessages": true,
      "launchBrowser": true,
      "applicationUrl": "https://localhost:5001;http://localhost:5000",
      "environmentVariables": {
        "ASPNETCORE_ENVIRONMENT": "Development"
      },
      "clientCertificate": true // 添加此行启用客户端证书请求
    }
  }
}

4. 未正确注册证书认证中间件及自定义验证逻辑 #

需确保在Program.cs中正确添加证书认证服务，配置自定义验证逻辑，同时保证中间件顺序正确：

var builder = WebApplication.CreateBuilder(args);

// 注册证书认证服务
builder.Services.AddCertificateAuthentication(options =>
{
    options.Events = new CertificateAuthenticationEvents
    {
        OnCertificateValidated = context =>
        {
            // 自定义验证逻辑示例：检查证书CN
            if (context.ClientCertificate.SubjectName.Name == "CN=Pragmateek")
            {
                context.Success();
            }
            else
            {
                context.Fail("无效的客户端证书");
            }
            return Task.CompletedTask;
        }
    };
});

var app = builder.Build();

// 中间件顺序：Authentication必须在Authorization之前
app.UseAuthentication();
app.UseAuthorization();

app.MapGet("/", () => "Hello World!").RequireAuthorization();

app.Run();

额外注意点 #

• 生成客户端证书时，需指定客户端认证的EKU（增强型密钥用法），可在New-SelfSignedCertificate命令中添加参数：-TextExtension @("2.5.29.37={text}1.3.6.1.5.5.7.3.2")
• Chrome测试时，需确保证书已导入Chrome证书管理器（设置→隐私和安全→安全→管理证书），并在请求时正确选中目标证书

内容的提问来源于stack exchange，提问作者Pragmateek