ASP.NET Core 8 Web API证书认证异常：自定义验证逻辑未执行

一、本地Kestrel环境无证书提示的修复 #

本地调试时浏览器不弹出证书选择框，核心是Kestrel未正确配置客户端证书请求规则：

builder.WebHost.ConfigureKestrel(options =>
{
    options.ConfigureHttpsDefaults(httpsOpts =>
    {
        // 根据业务需求选择RequireCertificate（强制要求）或AllowCertificate（可选）
        httpsOpts.ClientCertificateMode = ClientCertificateMode.RequireCertificate;
        // 保留服务器默认的吊销检查，不要禁用
        httpsOpts.CheckCertificateRevocation = true;
    });
});

同时确认本地HTTPS证书已正确安装，浏览器信任该证书颁发机构。

二、自定义验证逻辑不触发的修正 #

.NET 8 对证书认证的ValidationMode默认行为做了调整，若要同时保留服务器默认链验证和自定义逻辑，需显式配置：

builder.Services.AddAuthentication(CertificateAuthenticationDefaults.AuthenticationScheme)
    .AddCertificate(options =>
    {
        // 设置为Custom模式，允许自定义验证同时保留默认链校验
        options.ValidationMode = X509CertificateValidationMode.Custom;
        // 启用默认有效性校验：证书用途、有效期、吊销状态
        options.RevocationMode = X509RevocationMode.Online;
        options.ValidateCertificateUse = true;
        options.ValidateValidityPeriod = true;

        // 方式1：使用自定义验证器类（推荐，代码更易维护）
        options.CustomCertificateValidator = new YourCustomCertificateValidator();

        // 方式2：使用ValidationCallback内联逻辑
        options.ValidationCallback = async (context) =>
        {
            // 先执行服务器默认的证书链验证
            var chain = new X509Chain();
            chain.ChainPolicy.RevocationMode = X509RevocationMode.Online;
            bool chainValid = chain.Build(context.ClientCertificate);
            
            if (!chainValid)
            {
                context.Fail("证书链验证未通过");
                return;
            }

            // 执行你的自定义验证逻辑
            bool customValid = await ValidateCertificateCustomRules(context.ClientCertificate);
            if (!customValid)
            {
                context.Fail("自定义验证规则未通过");
                return;
            }

            context.Success();
        };
    });

注意：原.NET 6中使用的IsValidClientCertificate在.NET 8已标记为过时，建议替换为上述两种方式。

三、IIS部署环境的额外配置 #

UAT环境中IIS虽提示选证书但自定义逻辑不触发，需配置证书转发：

1. 修改站点SSL设置：将客户端证书设为「接受」或「要求」
2. 在web.config中添加环境变量启用证书转发：

<aspNetCore processPath="dotnet" arguments=".\YourApp.dll">
  <environmentVariables>
    <environmentVariable name="ASPNETCORE_CLIENTCERTIFICATE_FORWARDING_ENABLED" value="true" />
  </environmentVariables>
</aspNetCore>

3. 在Program.cs中注册证书转发中间件：

builder.Services.AddCertificateForwarding(options =>
{
    options.CertificateHeader = "X-ARR-ClientCert";
    options.HeaderConverter = headerValue =>
    {
        if (string.IsNullOrWhiteSpace(headerValue)) return null;
        return X509Certificate2.CreateFromPem(WebUtility.UrlDecode(headerValue));
    };
});

// 确保中间件顺序：证书转发 → 认证 → 授权
app.UseCertificateForwarding();
app.UseAuthentication();
app.UseAuthorization();

四、验证排查要点 #

• 本地调试时，确认客户端证书已安装在当前用户的「个人」证书存储中
• 查看应用日志，排查是否存在证书链验证失败、证书未被转发等错误
• 检查自定义验证类的依赖注入是否正确，确保实例能被正常创建

内容的提问来源于stack exchange，提问作者Matthew