如何通过UWP应用代码在Windows设备安装自签名SSL证书至受信任根目录

核心安全限制 #

UWP运行在沙箱环境中，没有直接写入系统级受信任根证书存储区的权限——这是Windows的安全机制，防止恶意应用篡改系统信任列表。所有涉及根证书的安装操作必须经过用户明确授权。

可行实现方案 #

方案1：引导用户通过系统向导安装（最可靠） #

通过UWP的Launcher API打开证书文件（.cer/.pfx格式），唤起系统自带的证书安装向导，让用户手动完成安装到受信任根存储区的操作。

代码示例：

using Windows.System;
using Windows.Storage;

public async Task TriggerCertificateInstallationAsync(string certFilePath)
{
    var certFile = await StorageFile.GetFileFromPathAsync(certFilePath);
    if (certFile != null)
    {
        // 唤起系统证书安装向导，用户需手动选择存储区并确认
        await Launcher.LaunchFileAsync(certFile);
    }
}

操作步骤提示：用户打开向导后，需选择「将所有证书放入下列存储」，指定「受信任的根证书颁发机构」，并确认安装（系统会弹出安全警告，需用户同意）。

方案2：导入到用户级受信任根存储区（仅当前用户生效） #

若无需系统级全局信任，仅让当前用户信任该证书，可使用CertificateEnrollmentManager类将证书导入到用户专属的受信任根存储区。这种方式无需用户手动操作，但仅对当前用户有效。

代码示例（导入.cer格式证书）：

using Windows.Security.Cryptography.Certificates;
using Windows.Storage;

public async Task ImportCertToUserRootStoreAsync(StorageFile cerFile)
{
    var certBuffer = await FileIO.ReadBufferAsync(cerFile);
    
    // 导入到当前用户的受信任根存储区
    await CertificateEnrollmentManager.ImportCertificateAsync(
        certBuffer,
        string.Empty, // .cer文件无密码，留空
        ExportOption.NotExportable,
        KeyProtectionLevel.NoConsent,
        InstallOptions.None,
        "Root" // 指定用户级根存储区名称
    );
}

重要提示 #

• 系统级受信任根证书的安装必须经过用户手动确认，UWP无法静默完成。
• 若应用仅需访问特定自签名证书的服务，可考虑在应用内添加自定义证书验证逻辑（不推荐，会降低安全性）。

内容的提问来源于stack exchange，提问作者Piumi ganegoda