ASP.NET配置Kestrel用Windows证书存储实现HTTPS遇端口重复监听问题

你的核心问题在于重复绑定端口以及手动配置的端点未正确关联应用请求管道：

1. 重复监听端口：你先通过serverOptions.Configure(kestrelSection)加载了配置文件中定义的8090 HTTPS端点，随后又调用ListenAnyIP(8090)再次绑定同一端口，导致端口冲突。
2. 换端口后无法响应请求：手动配置端点时未指定正确的协议，或未将端点与应用的路由/服务映射关联。

方案一：完全手动配置Kestrel端点（推荐） #

移除配置文件中重复的端点定义，直接在代码中完成所有端点的HTTPS配置，避免冲突。

修改后的appsettings.json

{
  "SSLCertificate": {
    "Serial": "serialNumberFromCertificateStore"
  },
  "AllowedHosts": "*"
}

修改后的Program.cs

var builder = WebApplication.CreateBuilder(new WebApplicationOptions
{
    Args = args,
    ContentRootPath = WindowsServiceHelpers.IsWindowsService() ? AppContext.BaseDirectory : default
});

// 根据你的业务添加服务，例如MVC或gRPC
// builder.Services.AddControllers();
// builder.Services.AddGrpc();

builder.WebHost.ConfigureKestrel((context, serverOptions) =>
{
    var certSerial = context.Configuration.GetSection("SSLCertificate").GetValue<string>("Serial");

    if (!string.IsNullOrEmpty(certSerial))
    {
        using var store = new X509Store(StoreName.My, StoreLocation.CurrentUser);
        store.Open(OpenFlags.ReadOnly);
        // 忽略大小写匹配证书序列号
        var certificate = store.Certificates
            .FirstOrDefault(f => f.SerialNumber.Equals(certSerial, StringComparison.OrdinalIgnoreCase));

        if (certificate != null)
        {
            // 配置Http1端点（8090）
            serverOptions.ListenAnyIP(8090, listenOptions =>
            {
                listenOptions.Protocols = HttpProtocols.Http1;
                listenOptions.UseHttps(certificate);
            });

            // 配置gRPC专用的Http2端点（8091）
            serverOptions.ListenAnyIP(8091, listenOptions =>
            {
                listenOptions.Protocols = HttpProtocols.Http2;
                listenOptions.UseHttps(certificate);
            });
        }
    }
});

var app = builder.Build();

// 配置请求管道，必须对应你添加的服务
// app.MapControllers();
// app.MapGrpcService<YourGrpcServiceImpl>();

app.Run();

方案二：保留配置文件端点，为其绑定证书 #

如果希望保留配置文件的端点灵活性，可通过Endpoint方法为已加载的端点指定证书，避免重复绑定。

修改后的Program.cs关键部分

builder.WebHost.ConfigureKestrel((context, serverOptions) =>
{
    var certSerial = context.Configuration.GetSection("SSLCertificate").GetValue<string>("Serial");

    if (!string.IsNullOrEmpty(certSerial))
    {
        using var store = new X509Store(StoreName.My, StoreLocation.CurrentUser);
        store.Open(OpenFlags.ReadOnly);
        var certificate = store.Certificates
            .FirstOrDefault(f => f.SerialNumber.Equals(certSerial, StringComparison.OrdinalIgnoreCase));

        if (certificate != null)
        {
            // 先加载配置文件中的端点，再为每个端点绑定证书
            serverOptions.Configure(context.Configuration.GetSection("Kestrel"))
                .Endpoint("Http", endpointOpts => endpointOpts.UseHttps(certificate))
                .Endpoint("gRPC", endpointOpts => endpointOpts.UseHttps(certificate));
        }
    }
});

额外注意事项 #

• 如果以Windows服务运行，建议将证书存储位置改为StoreLocation.LocalMachine（服务默认使用本地机器上下文，而非当前用户）。
• 确保证书具备服务器认证的用途，且运行程序的账户有权限访问该证书。
• 验证请求管道配置：必须添加MapControllers/MapGrpcService等路由映射，否则端点无法处理请求。

内容的提问来源于stack exchange，提问作者Miha Bogataj