使用HttpClient携带证书调用.NET Core端点时抛出异常求助

1. 检查客户端证书是否包含私钥 #

你当前使用的.crt文件通常仅包含公钥，而客户端证书身份验证需要带私钥的完整证书（如.pfx或.p12格式）。Postman能正常调用，大概率是因为你导入的是包含私钥的证书，而代码里仅加载了公钥部分，导致TLS握手失败，服务器中止连接。

解决方法：
使用包含私钥的证书文件，修改加载代码：

// 替换为你的pfx/p12证书路径和密码
var cert = new X509Certificate2("C:\\path\\to\\myCert.pfx", "mypassword", 
    X509KeyStorageFlags.PersistKeySet | X509KeyStorageFlags.Exportable);
httpHandler.ClientCertificates.Add(cert);

2. 跳过本地服务器证书验证（开发环境） #

如果API使用自签名localhost证书，HttpClient默认会验证服务器证书有效性，这也会导致连接失败。Postman通常默认跳过该验证，需在HttpClientHandler中添加自定义逻辑：

var httpHandler = new HttpClientHandler();
// 开发环境跳过服务器证书验证，生产环境请勿使用
httpHandler.ServerCertificateCustomValidationCallback = (sender, cert, chain, sslPolicyErrors) => true;

3. 优化Kestrel客户端证书验证配置 #

虽然Postman能正常调用，可额外配置Kestrel确保正确信任客户端证书（如自签名证书）：

builder.WebHost.ConfigureKestrel(options =>
{
    options.ConfigureHttpsDefaults(defaultOptions =>
    {
        defaultOptions.ClientCertificateMode = ClientCertificateMode.RequireCertificate;
        // 开发环境允许自签名证书，生产环境替换为严格验证逻辑
        defaultOptions.ClientCertificateValidation = (cert, chain, errors) =>
        {
            return errors == SslPolicyErrors.None || cert.Issuer.Equals(cert.Subject);
        };
    });
});

4. 排查证书权限问题 #

若证书加载存在权限问题，可尝试将证书导入当前用户的「个人」证书存储，再通过指纹加载：

// 替换为你的证书指纹
using var store = new X509Store(StoreName.My, StoreLocation.CurrentUser);
store.Open(OpenFlags.ReadOnly);
var certs = store.Certificates.Find(X509FindType.FindByThumbprint, "你的证书指纹", false);
if (certs.Count > 0)
{
    httpHandler.ClientCertificates.Add(certs[0]);
}
store.Close();

内容的提问来源于stack exchange，提问作者Vijay Wilson