.NET Core 7中X509Certificate2提取Subject Key Identifier为何在部分机器失效？

出现这个问题主要有以下几个常见原因：

• 证书本身不包含Subject Key Identifier（SKI）扩展
  并非所有X509证书都强制携带SKI扩展，一些旧版本证书、小众CA签发的证书，或者特定场景下生成的证书可能省略了这个字段。你的开发/测试环境用的证书刚好包含该扩展，但客户机器上的目标证书没有，导致signingCertificate.Extensions["Subject Key Identifier"]直接返回null，访问RawData自然会出问题。

• 字符串索引的匹配问题
  使用"Subject Key Identifier"这个友好名称索引扩展时，可能受系统本地化配置、.NET Core版本差异影响，出现名称不匹配的情况。不同环境下，证书扩展的友好名称可能存在大小写、翻译（比如非英文系统）的差异，导致索引失败。

• 证书加载或权限限制
  在部分客户机器上，证书的加载方式可能不完整（比如只加载了证书主体，未加载完整扩展信息），或者运行程序的账户没有足够权限读取证书的扩展字段，导致扩展无法被正常获取。

修正方案 #

1. 优先使用OID而非友好名称获取扩展
   SKI扩展的标准OID是2.5.29.14，用OID索引可以避免名称匹配的问题，兼容性更强：

   const string SkiOid = "2.5.29.14";
   var skiExtension = signingCertificate.Extensions[SkiOid];
   if (skiExtension != null)
   {
       var issuerSubjectKey = skiExtension.RawData;
       // 执行后续逻辑
   }
   else
   {
       // 处理证书无SKI扩展的场景，比如用证书Thumbprint替代，或抛出业务异常
   }
   

2. 增加扩展存在性判断
   无论用哪种方式获取扩展，都要先判断是否为null，避免空引用异常。

3. 排查证书本身的问题
   可以在客户机器上用证书查看工具（比如Windows的证书管理器）检查目标证书是否包含SKI扩展，确认是证书本身的问题还是代码兼容性问题。

内容的提问来源于stack exchange，提问作者Mike