如何向.NET服务器添加CA证书？

你已经给.NET服务器配置了服务器证书，但不知道怎么添加CA证书——对应Node.js里https.createServer配置中ca参数的功能，下面直接给你两种常见场景的实现方式：

1. 补充服务器证书的信任链 #

如果你的服务器证书是自定义CA签发的，需要把CA证书加入到服务器的证书信任链中，让客户端能完整验证证书链：

var certPath = Path.Combine(AppDomain.CurrentDomain.BaseDirectory, "cert.pfx");
var cert = new X509Certificate2(certPath, "123");
var caCertPath = Path.Combine(AppDomain.CurrentDomain.BaseDirectory, "ca.crt");
var caCert = new X509Certificate2(caCertPath);

// 构建包含服务器证书和CA证书的集合
var certCollection = new X509Certificate2Collection();
certCollection.Add(cert);
certCollection.Add(caCert);

builder.WebHost.ConfigureKestrel((context, options) =>
{
    options.Listen(IPAddress.Any, 2000, listenOptions =>
    {
        listenOptions.UseHttps(new HttpsConnectionAdapterOptions
        {
            ServerCertificate = cert,
            // 将CA证书加入额外证书链，补充信任关系
            AdditionalCertificates = certCollection
        });
    });
});

2. 验证客户端证书（仅信任指定CA签发的客户端证书） #

如果需要要求客户端提供由该CA签发的证书并验证其合法性，配置如下：

var certPath = Path.Combine(AppDomain.CurrentDomain.BaseDirectory, "cert.pfx");
var cert = new X509Certificate2(certPath, "123");
var caCertPath = Path.Combine(AppDomain.CurrentDomain.BaseDirectory, "ca.crt");
var caCert = new X509Certificate2(caCertPath);

// 配置信任策略，只信任我们指定的CA
var trustPolicy = new X509ChainPolicy();
trustPolicy.ExtraStore.Add(caCert);
// 允许未知CA（因为我们用自定义CA，系统默认不信任），可根据需求调整
trustPolicy.VerificationFlags = X509VerificationFlags.AllowUnknownCertificateAuthority;

builder.WebHost.ConfigureKestrel((context, options) =>
{
    options.Listen(IPAddress.Any, 2000, listenOptions =>
    {
        listenOptions.UseHttps(new HttpsConnectionAdapterOptions
        {
            ServerCertificate = cert,
            // 要求客户端必须提供证书
            ClientCertificateMode = ClientCertificateMode.RequireCertificate,
            // 自定义客户端证书验证逻辑
            ClientCertificateValidation = (certificate, chain, errors) =>
            {
                if (errors != SslPolicyErrors.None)
                    return false;
                
                // 用自定义信任链验证客户端证书是否由指定CA签发
                var certChain = new X509Chain();
                certChain.ChainPolicy = trustPolicy;
                return certChain.Build(new X509Certificate2(certificate));
            }
        });
    });
});

和Node.js实现的差异说明 #

Node.js里ca参数是一个统一入口，既可以补充服务器证书链，也可以用于客户端证书验证的信任CA。而.NET Kestrel则拆分了这两个场景：

• 补充服务器信任链用AdditionalCertificates
• 客户端证书验证则通过ClientCertificateMode配合自定义验证逻辑来实现，把CA证书加入验证链的信任存储里

内容的提问来源于stack exchange，提问作者Daniel