.NET 6 API客户端证书认证问题：IIS 10部署后证书未发送

检查IIS站点的客户端证书要求 #

• 进入站点的SSL设置，把客户端证书选项从默认的"忽略"改成"接受"或"必需"。选"必需"会强制客户端提供证书，选"接受"则允许但不强制，根据业务场景选择。
• 开发环境用Kestrel时可能默认配置了证书要求，但IIS默认不开启，这是常见遗漏点。

确认客户端证书的信任链 #

• 客户端证书的颁发机构（CA）必须在IIS服务器的受信任根证书颁发机构或中级证书颁发机构存储区中。如果是自签名证书，需手动将CA证书导入对应存储区。
• 别只检查服务器绑定的SSL证书，客户端证书的信任问题是高频坑点。

配置ASP.NET Core模块与Kestrel #

• 对于ASP.NET Core项目，在web.config中确保ASP.NET Core模块正确传递证书：

<aspNetCore processPath="dotnet" arguments=".\YourApi.dll" stdoutLogEnabled="false">
  <environmentVariables>
    <environmentVariable name="ASPNETCORE_FORWARDEDHEADERS_ENABLED" value="true" />
  </environmentVariables>
</aspNetCore>

• 在Program.cs中明确Kestrel的客户端证书模式：

builder.WebHost.ConfigureKestrel(options =>
{
    options.ConfigureHttpsDefaults(httpsOpts =>
    {
        // 根据需求选RequireCertificate或AllowCertificate
        httpsOpts.ClientCertificateMode = ClientCertificateMode.RequireCertificate;
    });
});

验证客户端的证书发送逻辑 #

• 确保客户端代码正确附加证书，比如HttpClient的写法：

var cert = new X509Certificate2(@"C:\certs\client.pfx", "your-cert-password");
var handler = new HttpClientHandler();
handler.ClientCertificates.Add(cert);

using var client = new HttpClient(handler);
var response = await client.GetAsync("https://your-iis-api-url");

• 如果客户端是Windows服务或其他托管应用，证书要导入到对应账户的证书存储区（本地机器或当前用户），不能仅放在文件系统。

排查代理与防火墙干扰 #

• 如果服务器前端有反向代理（比如ARR），要在代理设置里开启"传递客户端证书"选项，否则证书会被代理拦截。
• 检查Windows防火墙是否放行443端口，避免证书相关请求数据包被阻断。

日志定位问题 #

• 启用IIS的失败请求跟踪，捕获证书相关请求日志，可直接查看证书是否被接收、验证是否失败等细节。
• 在API项目的appsettings.json中添加日志配置，开启Kestrel HTTPS相关日志：

{
  "Logging": {
    "LogLevel": {
      "Microsoft.AspNetCore.Server.Kestrel.Https": "Debug"
    }
  }
}

内容的提问来源于stack exchange，提问作者Felice Nastri