在.NET 8中如何用RSACryptoServiceProvider实现SignHash签名？

问题根源 #

1. 从证书获取的RSA实例在Windows平台下默认是RSACng实现，若证书私钥被标记为不可导出（比如硬件存储、导出PFX时未勾选允许私钥导出），调用ExportParameters(true)会直接抛出"请求的操作不支持"异常。
2. 没必要将RSA实例转换为旧的RSACryptoServiceProvider——这是.NET Framework时代的遗留类型，.NET 8已经通过抽象的RSA基类提供了完整的签名能力，转换操作完全多余，还会引入兼容性问题。

解决方案 #

直接使用从证书获取的RSA私钥实例调用SignHash方法，跳过导出/导入的冗余步骤：

// 从证书获取RSA私钥，使用using确保资源释放
using RSA rsaPrivateKey = this.StakeHolderCert.GetRSAPrivateKey();
if (rsaPrivateKey == null)
{
    throw new InvalidOperationException("当前证书未包含可用的RSA私钥");
}

// 直接调用SignHash完成签名，根据你的算法选择对应的重载
// 示例：如果使用SHA256 + PKCS#1填充
byte[] signatureBytes = rsaPrivateKey.SignHash(
    hash, 
    HashAlgorithmName.SHA256, 
    RSASignaturePadding.Pkcs1
);

// 若需要通过OID指定哈希算法，使用如下重载：
// byte[] signatureBytes = rsaPrivateKey.SignHash(hash, oid, RSASignaturePadding.Pkcs1);

string base64Signature = Convert.ToBase64String(signatureBytes);

额外注意事项 #

• 确认证书私钥可访问：加载PFX文件时需提供正确密码，且导出PFX时必须勾选"允许私钥导出"选项（若私钥存储在硬件设备中，需确保设备驱动正常且程序有访问权限）。
• 优先使用.NET 8原生的RSA抽象类方法，避免使用RSACryptoServiceProvider这类遗留API，减少不必要的兼容性风险。

内容的提问来源于stack exchange，提问作者Andongwisye Mwamengo