使用WebApplication.CreateBuilder时Kestrel未加载appsettings默认证书

在多个旧版ASP.NET Core应用中，通过appSettings.json配置Kestrel默认证书可正常生效，配置内容如下：

"Kestrel": {
  "Certificates": {
    "Default": {
      "Subject": "localhost",
      "Store": "MY",
      "Location": "LocalMachine",
      "AllowInvalid": true
    }
  }
}

该配置会从本地计算机个人存储区加载主题为localhost的证书，且在使用Startup.cs并通过.Configure<KestrelServerOptions>(config.GetSection("Kestrel"))配置的应用中工作正常。

但在使用WebApplication.CreateBuilder()创建的新Web API应用中，即便已配置Kestrel选项并指定监听地址https://+:8070，上述配置的证书仍被忽略，Kestrel会自动加载CurrentUser存储区的开发者证书：

• 指定不存在的证书时，启动会抛出找不到证书的异常；
• 指定存在的证书时，配置被忽略，仍使用开发者证书（无.NET SDK的机器会提示找不到开发者证书）。

手动通过CertificateLoader加载证书并配置ListenOptions可正常工作，但希望保留配置文件方案，无需硬编码证书加载逻辑。

问题根源在于WebApplication.CreateBuilder()的默认配置逻辑中，开发者证书的自动加载优先级高于appSettings.json里的Default证书配置。以下两种方案可解决该问题：

方案1：显式禁用自动开发者证书加载 #

在Program.cs中配置Kestrel时，显式禁用开发者证书的自动加载，确保配置文件中的证书生效：

var builder = WebApplication.CreateBuilder(args);

// 配置Kestrel并绑定配置文件设置，同时禁用自动开发者证书
builder.WebHost.ConfigureKestrel((context, options) =>
{
    // 从配置文件读取Kestrel配置
    context.Configuration.GetSection("Kestrel").Bind(options);
    
    // 禁用开发者证书自动配置
    options.ConfigureHttpsDefaults(httpsOpts =>
    {
        httpsOpts.DisableDeveloperCertificate();
    });
});

// 其他服务配置
builder.Services.AddControllers();

var app = builder.Build();

app.UseHttpsRedirection();
app.UseAuthorization();
app.MapControllers();

app.Run();

方案2：直接为HTTPS端点指定证书（无需修改代码） #

修改appSettings.json，为HTTPS端点直接绑定证书，该配置优先级高于默认的开发者证书自动加载：

"Kestrel": {
  "Endpoints": {
    "Https": {
      "Url": "https://+:8070",
      "Certificate": {
        "Subject": "localhost",
        "Store": "MY",
        "Location": "LocalMachine",
        "AllowInvalid": true
      }
    }
  }
}

注意事项 #

• 确认本地计算机（LocalMachine）的MY存储区中存在主题为localhost的证书（可通过certlm.msc打开证书管理器查看）；
• 若应用运行账户无LocalMachine证书存储区的读取权限，需右键证书→「所有任务」→「管理私钥」，添加应用运行账户并授予读取权限。

内容的提问来源于stack exchange，提问作者Stephan Steiner