如何在C# Web API中获取带私钥的客户端证书用于PDF签名？

我在C# Web API中尝试使用客户端证书对生成的PDF文档进行签名，已在Startup.cs中配置Kestrel允许客户端证书：

services.Configure<KestrelServerOptions>(options =>
{
    options.ConfigureHttpsDefaults(o => 
        {
            o.ClientCertificateMode = Microsoft.AspNetCore.Server.Kestrel.Https.ClientCertificateMode.AllowCertificate;
            o.AllowAnyClientCertificate();
            o.ClientCertificateValidation = (cert, chain, policyErrors) =>
            {
                return true;
            };
            o.SslProtocols = System.Security.Authentication.SslProtocols.Tls12;
        }
    );
});

在控制器端点方法中，通过以下代码获取客户端证书：

var certificate = await this.HttpContext.Connection.GetClientCertificateAsync();

但获取到的X509Certificate2对象HasPrivateKey属性为false，PrivateKey属性为null，而我用于测试的证书在Windows 11「管理用户证书」中明明带有对应私钥。

问题核心原因 #

TLS协议的安全设计决定了：客户端在TLS握手时只会向服务端发送证书的公钥部分，私钥始终保存在客户端本地，不会通过网络传输。所以服务端无法从客户端传递过来的证书中获取私钥。

可行解决方案 #

1. 调整签名流程（推荐）

正确的客户端证书签名逻辑应该是「客户端签名，服务端验证嵌入」：

• 服务端生成PDF后，计算需要签名内容的哈希值（如SHA256哈希），将哈希值发送给客户端。
• 客户端使用本地证书的私钥对该哈希值完成签名操作。
• 客户端将签名结果与证书公钥一起返回给服务端。
• 服务端用客户端返回的证书公钥验证签名有效性，验证通过后将签名嵌入PDF文档。

2. 服务端部署带私钥的证书（仅适用于完全可信场景）

如果业务逻辑必须在服务端使用私钥（比如客户端是内部可信系统），可以将包含私钥的证书文件（.pfx或.p12格式）直接部署到服务端，而非依赖客户端传输。加载证书示例代码：

// 从本地文件加载带私钥的证书
var certificate = new X509Certificate2("certificates/my-cert.pfx", "your-cert-password");

注意：必须严格保护证书文件和密码，避免私钥泄露风险。

内容的提问来源于stack exchange，提问作者Goran Petrović