Azure App Service Linux容器中.NET Core 8.0应用读取证书失败求助

排查点1：密码字符编码差异 #

• Windows默认用UTF-16解析字符串，而Azure Linux容器基于UTF-8。如果证书密码包含非ASCII特殊字符（如中文、特殊符号），可能导致实际传递的密码字节不一致。
• 测试方案：改用纯ASCII字符的密码验证是否正常；若必须用特殊字符，确保配置中的密码是在UTF-8环境下输入的，避免编码不匹配问题。

排查点2：证书文件完整性验证 #

• 本地证书上传到Azure过程中，可能因传输模式（如FTP未启用二进制模式）或存储挂载问题导致文件损坏。
• 验证方式：
  • 本地执行命令获取哈希：certutil -hashfile yourcert.pfx SHA256
  • 登录Azure容器（通过Kudu或SSH）执行：sha256sum /path/to/yourcert.pfx
  • 对比两次哈希值，确认文件完全一致。

排查点3：改用Azure App Service内置证书加载机制 #

• 避免手动管理证书文件和密码，利用Azure App Service的TLS/SSL功能：
  1. 在Azure门户的App Service > TLS/SSL设置 > 私钥证书(.pfx)中上传证书。
  2. 添加应用设置WEBSITE_LOAD_CERTIFICATES，值设为证书指纹（或*加载所有证书）。
  3. 代码中通过指纹读取证书：

     using System.Security.Cryptography.X509Certificates;
     
     var thumbprint = Environment.GetEnvironmentVariable("CERT_THUMBPRINT");
     using var store = new X509Store(StoreName.My, StoreLocation.CurrentUser);
     store.Open(OpenFlags.ReadOnly);
     var certCollection = store.Certificates.Find(X509FindType.FindByThumbprint, thumbprint, validOnly: false);
     var certificate = certCollection.OfType<X509Certificate2>().FirstOrDefault();
     

排查点4：容器内证书文件权限检查 #

• Linux容器中，应用运行用户（默认是www-data）可能没有证书文件的读取权限。
• 检查权限：登录容器执行ls -l /path/to/yourcert.pfx，确认文件权限包含读权限（如-rw-r--r--）。
• 若权限不足，执行chmod 644 /path/to/yourcert.pfx修改权限。

排查点5：重新标准化证书格式 #

• Windows下的PKCS#12证书可能存在OpenSSL不兼容的格式问题，Linux底层依赖OpenSSL处理证书。
• 用OpenSSL重新导出证书：
  1. 导出为PEM格式：openssl pkcs12 -in original.pfx -out temp.pem -nodes -passin pass:yourpassword
  2. 重新打包为PKCS#12：openssl pkcs12 -export -in temp.pem -out new.pfx -password pass:newpassword
  3. 使用新生成的new.pfx文件部署测试。

内容的提问来源于stack exchange，提问作者Nico