如何在.NET7中使用已有RSA公私钥生成CSR？

核心说明 #

生成CSR（证书签名请求）必须使用私钥进行签名，公钥会被嵌入到CSR中，你之前尝试用公钥操作的方向是错误的。.NET 5+的System.Security.Cryptography原生支持跨Linux/Windows平台，无需额外依赖，是首选方案。

完整代码示例 #

1. 加载RSA私钥（支持PEM/DER格式） #

using System;
using System.IO;
using System.Security.Cryptography;
using System.Security.Cryptography.X509Certificates;

public class CsrGenerator
{
    public static void GenerateCsr(string privateKeyPath, string csrOutputPath)
    {
        RSA rsa = LoadRsaPrivateKey(privateKeyPath);
        
        // 构建CSR的主题信息（根据需求修改字段）
        var request = new CertificateRequest(
            "CN=example.com, O=YourOrg, OU=YourDept, L=YourCity, S=YourState, C=CN",
            rsa,
            HashAlgorithmName.SHA256,
            RSASignaturePadding.Pkcs1);
        
        // 可选：添加SAN扩展（多域名支持）
        request.CertificateExtensions.Add(
            new X509SubjectAlternativeNameExtension(
                new[] { new DnsName("example.com"), new DnsName("www.example.com") },
                false));
        
        // 生成CSR并保存为PEM格式文件
        byte[] csrBytes = request.CreateSigningRequest();
        string csrPem = PemEncoding.Write("CERTIFICATE REQUEST", csrBytes);
        File.WriteAllText(csrOutputPath, csrPem);
        
        rsa.Dispose();
    }

    private static RSA LoadRsaPrivateKey(string privateKeyPath)
    {
        string keyContent = File.ReadAllText(privateKeyPath).Trim();
        RSA rsa = RSA.Create();
        
        if (keyContent.StartsWith("-----BEGIN RSA PRIVATE KEY-----") || keyContent.StartsWith("-----BEGIN PRIVATE KEY-----"))
        {
            // 加载PEM格式私钥
            rsa.ImportFromPem(keyContent);
        }
        else
        {
            // 加载DER格式二进制私钥
            byte[] derBytes = File.ReadAllBytes(privateKeyPath);
            rsa.ImportPkcs8PrivateKey(derBytes, out _);
        }
        
        return rsa;
    }
}

2. 使用示例 #

调用时传入私钥路径和CSR输出路径即可：

CsrGenerator.GenerateCsr("path/to/your/private.key", "output.csr");

之前代码失败的原因 #

• 用公钥生成CSR：这是核心错误，CSR需要私钥完成数字签名，公钥是CSR的内容组成部分，不是操作密钥。
• BouncyCastle代码报错：大概率是传入了公钥DER文件，或是私钥格式不符合BouncyCastle的解析要求。

可选：BouncyCastle兼容方案（适配旧.NET版本） #

如果必须使用BouncyCastle，先通过NuGet安装BouncyCastle.Crypto包，以下是跨平台实现：

using System.IO;
using Org.BouncyCastle.Asn1.Pkcs;
using Org.BouncyCastle.Asn1.X509;
using Org.BouncyCastle.Crypto;
using Org.BouncyCastle.Crypto.Generators;
using Org.BouncyCastle.Crypto.Prng;
using Org.BouncyCastle.Pkcs;
using Org.BouncyCastle.Security;
using Org.BouncyCastle.X509;

public class BouncyCastleCsrGenerator
{
    public static void GenerateCsr(string privateKeyPath, string csrOutputPath)
    {
        AsymmetricKeyParameter privateKey = LoadBouncyCastlePrivateKey(privateKeyPath);
        
        // 构建主题信息
        X509Name subject = new X509Name("CN=example.com, O=YourOrg, OU=YourDept, L=YourCity, S=YourState, C=CN");
        
        // 初始化CSR生成器
        Pkcs10CertificationRequestGenerator csrGenerator = new Pkcs10CertificationRequestGenerator();
        csrGenerator.SetPublicKey(privateKey);
        csrGenerator.SetSignatureAlgorithm("SHA256withRSA");
        csrGenerator.SetSubjectDN(subject);
        
        // 可选：添加SAN扩展
        var sanExtension = new X509Extension("2.5.29.17", false, new DerSequence(
            new DerIA5String("DNS:example.com"),
            new DerIA5String("DNS:www.example.com")));
        csrGenerator.AddAttribute(X509Extensions.ExtendedKeyUsage.Id, new DerSet(sanExtension));
        
        SecureRandom random = new SecureRandom(new CryptoApiRandomGenerator());
        Pkcs10CertificationRequest csr = csrGenerator.Generate(privateKey, random);
        
        // 保存为PEM格式文件
        File.WriteAllText(csrOutputPath, $"-----BEGIN CERTIFICATE REQUEST-----\n{Convert.ToBase64String(csr.GetEncoded(), Base64FormattingOptions.InsertLineBreaks)}\n-----END CERTIFICATE REQUEST-----");
    }

    private static AsymmetricKeyParameter LoadBouncyCastlePrivateKey(string privateKeyPath)
    {
        string keyContent = File.ReadAllText(privateKeyPath).Trim();
        if (keyContent.StartsWith("-----BEGIN RSA PRIVATE KEY-----") || keyContent.StartsWith("-----BEGIN PRIVATE KEY-----"))
        {
            // 加载PEM格式私钥
            return PrivateKeyFactory.CreateKey(PemReader.ReadPrivateKey(keyContent));
        }
        else
        {
            // 加载DER格式二进制私钥
            byte[] derBytes = File.ReadAllBytes(privateKeyPath);
            return PrivateKeyFactory.CreateKey(derBytes);
        }
    }
}

内容的提问来源于stack exchange，提问作者sip-1987