C#测试Web API配置MTLS遇问题：客户端证书始终为空

以下是针对你无法获取MTLS客户端证书问题的排查与解决步骤：

1. 确保Web API配置了要求客户端证书 #

默认ASP.NET Core不会主动要求客户端提供证书，需手动开启证书验证逻辑：

• 若使用Kestrel服务器，在Program.cs中添加配置：

  builder.WebHost.ConfigureKestrel(options =>
  {
      options.ConfigureHttpsDefaults(httpsOptions =>
      {
          // 强制要求客户端证书，也可使用AllowCertificate实现可选验证
          httpsOptions.ClientCertificateMode = ClientCertificateMode.RequireCertificate;
      });
  });
  

• 若托管在IIS，需在站点SSL设置中勾选「要求SSL」和「要求客户端证书」。

2. 解决自签名证书信任问题 #

自签名证书未被双向信任会导致TLS握手失败，证书无法传递：

• 将客户端自签名证书导入服务器的本地计算机-受信任的根证书颁发机构存储。
• 将服务器证书导入客户端的受信任根存储，或确保客户端的ValidateServerCertificate回调正确跳过测试环境验证：

  private static bool ValidateServerCertificate(HttpRequestMessage request, X509Certificate2 certificate, X509Chain chain, SslPolicyErrors errors)
  {
      // 仅测试环境使用，生产环境需严格验证
      return true;
  }
  

3. 调整中间件获取证书的时机 #

证书可能尚未被Kestrel加载，需手动触发加载逻辑：

app.Use(async (context, next) =>
{
    // 手动触发证书加载
    var clientCertificate = context.Connection.ClientCertificate;
    if (clientCertificate == null)
    {
        await context.Connection.LoadClientCertificateAsync();
        clientCertificate = context.Connection.ClientCertificate;
    }

    if (clientCertificate == null || !clientCertificate.Verify())
    {
        context.Response.StatusCode = 401;
        return;
    }

    await next.Invoke();
});

4. 修复客户端PFX证书加载问题 #

确保PFX证书包含私钥，且加载时避免权限问题：

// 调整证书存储路径，避免System32目录的高权限限制
var clientCertificate = new X509Certificate2(
    "TestCertificate.pfx", 
    "YourPassword",
    X509KeyStorageFlags.MachineKeySet | X509KeyStorageFlags.PersistKeySet | X509KeyStorageFlags.Exportable
);

5. 核对HTTPS端口与服务器证书配置 #

确认Web API监听的HTTPS端口与请求地址一致，且Kestrel配置了正确的服务器证书：

builder.WebHost.UseKestrel(options =>
{
    options.ListenAnyIP(8080, listenOptions =>
    {
        listenOptions.UseHttps("server-cert.pfx", "server-cert-password");
    });
});

内容的提问来源于stack exchange，提问作者Snitchez