解决本地Docker部署ASP.NET Core Web API的SSL证书验证问题

问题背景 #

开发ASP.NET Core Web API并通过Docker容器本地运行，使用OpenSSL生成自签名证书。Postman禁用SSL证书验证时请求正常，启用验证后请求失败；浏览器访问时提示「您的连接不是私密连接」错误。

证书生成步骤 #

执行以下OpenSSL命令生成证书：

1. 生成私钥：

openssl genrsa -out localhost.key 2048

2. 创建证书签名请求（CSR）：

openssl req -new -key localhost.key -out localhost.csr -subj "/C=US/ST=State/L=City/O=Organization/OU=Unit/CN=localhost"

3. 生成自签名证书：

openssl x509 -req -days 365 -in localhost.csr -signkey localhost.key -out localhost.crt

4. 转换为Kestrel兼容的.pfx文件：

openssl pkcs12 -export -out localhost.pfx -inkey localhost.key -in localhost.crt -password pass:yourpassword

Kestrel配置 #

在Program.cs中配置Kestrel加载.pfx证书：

builder.WebHost.ConfigureKestrel(options =>
{
    options.ListenAnyIP(32769, listenOptions =>
    {
        listenOptions.UseHttps("localhost.pfx", "yourpassword");
    });
});

已尝试操作 #

• 验证证书通用名称（CN）与localhost匹配
• 通过certlm.msc将.crt文件导入「本地计算机」的受信任根证书颁发机构存储

待解决问题 #

1. 如何解决Postman启用SSL证书验证后的请求失败问题？
2. 为什么导入.crt文件后浏览器仍显示隐私错误？

解决方案 #

问题1：Postman启用SSL验证失败的解决办法 #

• 让Postman信任自签名证书：
  1. 用浏览器访问API的HTTPS地址，出现隐私错误时，点击地址栏「不安全」→「证书」→「详细信息」→「复制到文件」，选择Base64编码的X.509格式导出为.crt文件。
  2. 打开Postman，进入「设置」→「证书」→「CA证书」，点击「添加文件」选择刚才导出的.crt，保存后重启Postman。
• 检查Docker证书路径：确保容器内的.pfx文件路径与Kestrel配置一致，避免因Docker卷映射错误导致证书无法加载。

问题2：浏览器导入.crt仍显示隐私错误的原因及解决 #

原因1：证书导入位置不对

certlm.msc是导入到「本地计算机」的证书存储，但浏览器默认读取「当前用户」的证书存储。需补充导入：

1. 双击.crt文件→「安装证书」→选择「当前用户」→「将所有证书放入下列存储」→浏览选择「受信任的根证书颁发机构」→完成导入。

原因2：证书缺少SAN（主题备用名称）字段

现代浏览器要求证书必须包含SAN字段，仅靠CN=localhost已不满足要求，需重新生成带SAN的证书：

1. 创建openssl.cnf配置文件：

[req]
distinguished_name = req_distinguished_name
x509_extensions = v3_ca
prompt = no

[req_distinguished_name]
C=US
ST=State
L=City
O=Organization
OU=Unit
CN=localhost

[v3_ca]
subjectAltName = @alt_names
basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment

[alt_names]
DNS.1 = localhost
IP.1 = 127.0.0.1

2. 用配置文件重新生成证书：

openssl req -new -key localhost.key -out localhost.csr -config openssl.cnf
openssl x509 -req -days 365 -in localhost.csr -signkey localhost.key -out localhost.crt -extensions v3_ca -extfile openssl.cnf

3. 重新生成.pfx文件，更新Kestrel配置，并将新的.crt导入到「本地计算机」和「当前用户」的受信任根证书存储。

原因3：访问地址与证书匹配项不符

如果访问API时用的是Docker宿主机IP（如192.168.x.x）而非localhost，而证书的SAN未包含该IP，会触发错误。需在openssl.cnf的alt_names中添加宿主机IP（如IP.2 = 192.168.1.100），重新生成证书后再导入。

内容的提问来源于stack exchange，提问作者Brainless