ASP.NET Core 8 Web API基于PFX证书的身份认证403问题排查

你的当前配置仅设置了HTTPS服务器证书，但未启用客户端证书认证的核心逻辑，导致接口无法识别客户端传递的证书，返回403禁止访问。以下是修正步骤：

1. 添加客户端证书认证服务配置 #

在Program.cs中，于AddAuthorization之前添加客户端证书认证的服务配置：

using Microsoft.AspNetCore.Authentication.Certificate;
using System.Security.Claims;
using System.Security.Cryptography.X509Certificates;

// 配置客户端证书认证
builder.Services.AddAuthentication(CertificateAuthenticationDefaults.AuthenticationScheme)
    .AddCertificate(options =>
    {
        // 允许所有类型证书（测试用，生产可按需限制）
        options.AllowedCertificateTypes = CertificateTypes.All;
        // 测试阶段可关闭证书吊销检查，生产环境建议启用
        options.RevocationMode = X509RevocationMode.NoCheck;
        // 验证证书用途和有效期
        options.ValidateCertificateUse = true;
        options.ValidateValidityPeriod = true;

        // 自定义证书验证逻辑（可选，用于限定特定证书）
        options.Events = new CertificateAuthenticationEvents
        {
            OnCertificateValidated = context =>
            {
                var clientCert = context.ClientCertificate;
                // 示例：通过证书指纹验证合法性
                if (clientCert.Thumbprint.Equals("你的客户端证书指纹", StringComparison.OrdinalIgnoreCase))
                {
                    // 生成认证身份信息
                    var claims = new[]
                    {
                        new Claim(ClaimTypes.Name, clientCert.SubjectName.Name),
                        new Claim(ClaimTypes.NameIdentifier, clientCert.Thumbprint)
                    };
                    context.Principal = new ClaimsPrincipal(new ClaimsIdentity(claims, context.Scheme.Name));
                    context.Success();
                }
                else
                {
                    context.Fail("证书未通过验证");
                }
                return Task.CompletedTask;
            }
        };
    });

2. 调整中间件顺序 #

确保认证中间件在授权中间件之前执行，在Program.cs的管道配置中添加：

app.UseAuthentication(); // 必须在UseAuthorization之前
app.UseAuthorization();

3. 修改Kestrel配置，要求客户端提供证书 #

更新Kestrel的HTTPS配置，明确要求客户端传递证书：

builder.WebHost.ConfigureKestrel(options =>
{
    options.ListenAnyIP(7241, listenOptions =>
    {
        listenOptions.UseHttps(httpsOptions =>
        {
            httpsOptions.ServerCertificate = new X509Certificate2(@"C:\localhost.pfx", "your_password");
            // 设置为RequireCertificate强制客户端提供证书，测试阶段也可先设为AllowCertificate
            httpsOptions.ClientCertificateMode = ClientCertificateMode.RequireCertificate;
        });
    });
});

4. Postman测试验证要点 #

• 确保导入的PFX证书包含私钥（Postman需要私钥才能发起客户端证书请求）
• 证书的域名匹配请求地址（例如请求https://localhost:7241，证书的Subject要包含localhost）
• 自签名证书测试时，可暂时关闭服务端的证书链验证（即上述配置中的RevocationMode = X509RevocationMode.NoCheck）

完成以上配置后，重新启动API，用Postman携带证书调用接口即可通过认证。

内容的提问来源于stack exchange，提问作者Ashley Kilgour