ASP.NET Core 7 MVC应用部分API端点启用客户端证书认证可行吗？

完全可行，不需要新建独立Web应用。通过以下步骤可以实现仅指定API端点校验客户端证书，其余端点保留原有用户名/密码认证，同时避免不必要的证书选择弹窗：

1. 注册客户端证书认证服务 #

在Program.cs中注册客户端证书认证方案，不要全局强制启用，而是作为可选认证方案之一：

builder.Services.AddAuthentication()
    // 保留原有用户名/密码认证方案（比如Cookie或JWT）
    .AddCookie(options => { /* 原有配置 */ })
    // 添加客户端证书认证方案，指定专属Scheme名称
    .AddClientCertificate("ClientCertificate", options =>
    {
        options.AllowedCertificateTypes = CertificateTypes.All;
        // 自定义证书验证逻辑，比如校验颁发机构、有效期等
        options.Events = new CertificateAuthenticationEvents
        {
            OnCertificateValidated = context =>
            {
                // 验证通过后，将证书信息映射为用户身份
                context.Principal = new ClaimsPrincipal(new ClaimsIdentity(
                    new[] { new Claim(ClaimTypes.Name, context.ClientCertificate.Subject) },
                    context.Scheme.Name));
                context.Success();
                return Task.CompletedTask;
            },
            OnAuthenticationFailed = context =>
            {
                context.Fail("Invalid client certificate");
                return Task.CompletedTask;
            }
        };
    });

2. 创建专属授权策略 #

定义仅允许客户端证书认证的授权策略，确保只有通过证书校验的请求能访问目标端点：

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("RequireClientCertificate", policy =>
    {
        policy.AddAuthenticationSchemes("ClientCertificate");
        policy.RequireAuthenticatedUser();
    });
});

3. 为指定API端点绑定授权策略 #

在路由配置中，给需要证书认证的API端点单独应用RequireClientCertificate策略：

app.MapControllers()
    .RequireAuthorization("RequireClientCertificate")
    .WithMetadata(new RouteAttribute("api/cert/[controller]"));

// 其他MVC控制器或API端点保持原有认证逻辑
app.MapControllerRoute(
    name: "default",
    pattern: "{controller=Home}/{action=Index}/{id?}");

4. 服务器层面配置：仅特定路径要求证书 #

这是避免全局证书弹窗的关键，需要在Kestrel或IIS中针对目标路径单独设置证书要求，而非全局启用可选证书：

Kestrel配置 #

在Program.cs中配置Kestrel，仅对指定路径强制要求客户端证书：

builder.WebHost.ConfigureKestrel(options =>
{
    options.ListenAnyIP(5001, listenOptions =>
    {
        listenOptions.UseHttps(httpsOptions =>
        {
            // 默认路径不要求证书
            httpsOptions.ClientCertificateMode = ClientCertificateMode.NoCertificate;
            
            // 针对/api/cert/*路径强制要求证书
            httpsOptions.ClientCertificateValidation = (cert, chain, errors) => true; // 这里可自定义验证，或留空让认证服务处理
            httpsOptions.AdditionalHttpsOptions = new Dictionary<string, HttpsConnectionAdapterOptions>
            {
                { "/api/cert", new HttpsConnectionAdapterOptions
                    {
                        ClientCertificateMode = ClientCertificateMode.RequireCertificate
                    }
                }
            };
        });
    });
});

IIS配置 #

若部署在IIS，修改web.config，通过<location>节点指定目标路径并启用证书校验：

<configuration>
  <location path="api/cert">
    <system.webServer>
      <security>
        <access sslFlags="SslNegotiateCert" />
      </security>
      <authentication>
        <clientCertificateMappingAuthentication enabled="true" />
      </authentication>
    </system.webServer>
  </location>
  <!-- 其余原有配置 -->
</configuration>

关键说明 #

• 上述配置确保只有访问/api/cert/*路径时，服务器才会要求客户端提供证书，其他路径不会触发证书选择弹窗。
• 客户端证书的验证逻辑集中在认证服务的OnCertificateValidated事件中，可灵活扩展校验规则。
• 原有用户名/密码认证方案不受影响，其他端点仍按原有逻辑工作。

内容的提问来源于stack exchange，提问作者Simon Parker