.NET 8及以上：PrivateKey返回null但GetRSAPrivateKey返回密钥是否可行？如何编写单元测试？

确实存在这种场景 #

在.NET 8及更高版本中，确实会出现X509Certificate2.PrivateKey属性返回null，但GetRSAPrivateKey()方法能成功获取到私钥的情况。

背后的原因很明确：

• PrivateKey是旧版兼容属性，仅支持返回非CNG（Cryptography Next Generation）类型的私钥。如果证书绑定的是CNG存储的私钥（比如用RSACng生成的密钥），PrivateKey就会直接返回null。
• GetRSAPrivateKey()是针对RSA密钥的现代API，兼容传统和CNG两种类型的私钥，只要证书包含RSA私钥，就能正确返回对应的密钥实例。

编写单元测试验证该场景 #

可以通过创建一个绑定CNG类型RSA密钥的自签名证书，分别验证两个接口的返回值来完成测试。以下是基于xUnit的示例代码：

using System.Security.Cryptography;
using System.Security.Cryptography.X509Certificates;
using Xunit;

public class X509Certificate2KeyTests
{
    [Fact]
    public void WhenCertUsesCngKey_PrivateKeyIsNull_GetRSAPrivateKeyReturnsValidKey()
    {
        // 1. 创建CNG类型的RSA密钥
        using var rsaCng = new RSACng(2048);
        
        // 2. 生成绑定该CNG密钥的自签名证书
        var certRequest = new CertificateRequest(
            "CN=TestCNGCertificate",
            rsaCng,
            HashAlgorithmName.SHA256,
            RSASignaturePadding.Pss);
        
        var selfSignedCert = certRequest.CreateSelfSigned(
            DateTimeOffset.UtcNow.AddDays(-1),
            DateTimeOffset.UtcNow.AddDays(365));
        
        // 3. 验证两个接口的返回结果
        Assert.Null(selfSignedCert.PrivateKey);
        var rsaPrivateKey = selfSignedCert.GetRSAPrivateKey();
        Assert.NotNull(rsaPrivateKey);
        Assert.IsType<RSACng>(rsaPrivateKey);
        
        // 可选：验证密钥能正常使用
        var testData = System.Text.Encoding.UTF8.GetBytes("TestData");
        var signature = rsaPrivateKey.SignData(testData, HashAlgorithmName.SHA256, RSASignaturePadding.Pss);
        Assert.True(rsaPrivateKey.VerifyData(testData, signature, HashAlgorithmName.SHA256, RSASignaturePadding.Pss));
    }
}

测试要点说明 #

• 测试核心是用RSACng生成CNG密钥，确保证书绑定的是CNG类型私钥，触发PrivateKey返回null的场景。
• 额外添加的签名验证步骤，可以确认GetRSAPrivateKey()返回的密钥是可用的，而非空壳实例。
• 如果需要对比非CNG场景，可以补充一个用RSACryptoServiceProvider生成密钥的测试，此时PrivateKey和GetRSAPrivateKey()都会返回有效值。

内容的提问来源于stack exchange，提问作者Yola