ASP.NET Core集成测试中如何伪造LocalCertificate？

方案1：封装证书获取服务（推荐） #

如果允许对现有代码做小幅度重构，把证书获取逻辑封装成独立服务，会让测试变得更简单，无需直接处理ISslStreamFeature或SslStream。

步骤1：创建证书提供服务 #

// 定义接口
public interface ICertificateProvider
{
    X509Certificate2 GetLocalCertificate(HttpContext context);
}

// 实现类，对应原有的证书获取逻辑
public class SslCertificateProvider : ICertificateProvider
{
    public X509Certificate2 GetLocalCertificate(HttpContext context)
    {
        return context.Features?.Get<ISslStreamFeature>()?.SslStream.LocalCertificate as X509Certificate2;
    }
}

步骤2：在应用中注册服务 #

在Program.cs（或Startup类）中添加服务注册：

builder.Services.AddScoped<ICertificateProvider, SslCertificateProvider>();

步骤3：替换原有代码 #

把原来直接从HttpContext获取证书的代码，改成调用服务：

// 注入ICertificateProvider
private readonly ICertificateProvider _certificateProvider;

public YourController(ICertificateProvider certificateProvider)
{
    _certificateProvider = certificateProvider;
}

// 在请求处理中使用
var localCertificate = _certificateProvider.GetLocalCertificate(context);

步骤4：集成测试中替换服务 #

在测试项目的WebApplicationFactory中，替换服务为伪造实现：

public class CustomWebApplicationFactory<TProgram> : WebApplicationFactory<TProgram> where TProgram : class
{
    protected override void ConfigureWebHost(IWebHostBuilder builder)
    {
        builder.ConfigureServices(services =>
        {
            // 移除原有服务，添加伪造实现
            var descriptor = services.SingleOrDefault(d => d.ServiceType == typeof(ICertificateProvider));
            if (descriptor != null)
            {
                services.Remove(descriptor);
            }

            // 创建伪造证书（可提前生成自签名证书）
            var fakeCert = new X509Certificate2(Path.Combine(Directory.GetCurrentDirectory(), "fake-cert.pfx"), "password");

            services.AddScoped<ICertificateProvider>(_ => new FakeCertificateProvider(fakeCert));
        });
    }
}

// 伪造的证书提供服务
public class FakeCertificateProvider : ICertificateProvider
{
    private readonly X509Certificate2 _fakeCertificate;

    public FakeCertificateProvider(X509Certificate2 fakeCertificate)
    {
        _fakeCertificate = fakeCertificate;
    }

    public X509Certificate2 GetLocalCertificate(HttpContext context)
    {
        return _fakeCertificate;
    }
}

方案2：直接注入伪造的ISslStreamFeature（无需重构现有代码） #

如果不想修改现有代码，可以通过测试中间件，直接向HttpContext.Features注入自定义的ISslStreamFeature实现，同时通过反射伪造SslStream的LocalCertificate属性（因SslStream是密封类，无法直接Mock）。

步骤1：创建自定义ISslStreamFeature实现 #

public class FakeSslStreamFeature : ISslStreamFeature
{
    public SslStream SslStream { get; }

    public FakeSslStreamFeature(X509Certificate2 fakeCertificate)
    {
        // 创建空的SslStream实例（底层流用MemoryStream即可）
        SslStream = new SslStream(new MemoryStream());

        // 通过反射设置LocalCertificate私有字段
        var certificateField = typeof(SslStream).GetField("_certificate", BindingFlags.NonPublic | BindingFlags.Instance);
        if (certificateField != null)
        {
            certificateField.SetValue(SslStream, fakeCertificate);
        }
    }
}

步骤2：在测试中添加中间件注入特性 #

在WebApplicationFactory中配置中间件，在每个请求前注入伪造的ISslStreamFeature：

public class CustomWebApplicationFactory<TProgram> : WebApplicationFactory<TProgram> where TProgram : class
{
    protected override void ConfigureWebHost(IWebHostBuilder builder)
    {
        builder.Configure(app =>
        {
            // 添加自定义中间件，注入伪造的ISslStreamFeature
            app.Use(async (context, next) =>
            {
                // 创建伪造证书
                var fakeCert = new X509Certificate2(Path.Combine(Directory.GetCurrentDirectory(), "fake-cert.pfx"), "password");
                
                // 替换或添加ISslStreamFeature到上下文特性中
                context.Features.Set<ISslStreamFeature>(new FakeSslStreamFeature(fakeCert));
                
                await next();
            });
        });
    }
}

步骤3：使用测试工厂运行集成测试 #

public class YourIntegrationTests : IClassFixture<CustomWebApplicationFactory<Program>>
{
    private readonly HttpClient _client;
    private readonly CustomWebApplicationFactory<Program> _factory;

    public YourIntegrationTests(CustomWebApplicationFactory<Program> factory)
    {
        _factory = factory;
        _client = factory.CreateClient();
    }

    [Fact]
    public async Task TestCertificateDependentLogic()
    {
        // 发送请求，此时请求上下文会包含伪造的LocalCertificate
        var response = await _client.GetAsync("/your-endpoint");
        
        // 断言逻辑
        response.EnsureSuccessStatusCode();
        // ...
    }
}

问题解答 #

1. 如何伪造LocalCertificate？
   两种方案均可实现：方案1通过封装服务替换实现，更易维护；方案2直接注入伪造特性，无需修改现有业务代码。

2. 是否可在测试初始化时注入证书？
   是的。两种方案都可以在WebApplicationFactory的配置阶段（测试初始化时）完成证书注入：方案1在ConfigureServices中替换服务，方案2在Configure中添加中间件并注入伪造特性，完全不需要修改应用的生产证书处理逻辑。

注意事项 #

• 伪造证书可使用自签名证书，用.NET命令行工具生成：

  dotnet dev-certs https -ep fake-cert.pfx -p password
  

• 方案2中使用反射依赖SslStream的私有字段命名，若.NET版本更新导致字段名变化，需调整代码。

内容的提问来源于stack exchange，提问作者hojjat ghassemabadi