如何在Blazor WASM中阻止HttpClient/浏览器请求客户端证书

首先明确：无法通过HttpClient或fetch API的配置直接阻止浏览器弹出客户端证书选择框。因为这个弹窗是浏览器在TLS握手阶段触发的，而握手过程早于HTTP请求的发送，前端代码（不管是Blazor的.NET代码还是JS代码）都无法干预浏览器的TLS握手逻辑。

针对你的场景，提供几个可行的解决方向：

1. 拆分APIM自定义域名（最彻底的方案） #

将需要客户端证书认证的API和仅需JWT认证的API，分别配置到APIM的不同自定义域名下：

• 给需证书的API配置一个开启Negotiate client certificate的域名；
• 给仅需JWT的API配置另一个不开启该选项的域名。
  这样仅需JWT的API请求不会触发浏览器的证书协商，从根源解决弹窗问题。

2. 配置APIM策略兼容无证书请求 #

虽然无法阻止弹窗，但可以让用户取消证书选择后，请求仍能正常通过：
在目标API的入站策略中添加逻辑，忽略客户端证书的缺失：

<choose>
    <when condition="@(context.Request.Url.Path.StartsWith("/your-jwt-api-path"))">
        <authentication-certificate action="ignore" />
    </when>
</choose>

该策略会让APIM对指定路径的请求，不校验客户端证书，用户即使点击取消证书选择，请求也能进入后续的JWT认证流程。

3. 用户端浏览器权限配置（妥协方案） #

引导用户在浏览器中对APIM域名设置“自动拒绝证书请求”的权限：

• Chrome：进入设置 > 隐私和安全 > 安全 > 管理证书，或在网站权限中找到对应域名，将证书请求权限设为“拒绝”；
• Edge/Firefox：类似路径，找到对应域名的证书权限并设置自动拒绝。
  但此方案需要用户手动操作，无法通过代码批量控制。

为什么之前的尝试无效？ #

• ClientCertificateOptions.Manual和LocalCertificateSelectionCallback在Blazor WASM中不生效：因为WASM的HttpClient本质是调用浏览器的fetch API，TLS握手由浏览器进程处理，.NET代码无法介入证书选择逻辑；
• fetch API同样无法干预：证书弹窗是浏览器TLS层的行为，与HTTP请求的配置参数无关。

内容的提问来源于stack exchange，提问作者Kepar