.NET6 REST API客户端证书认证始终返回403 Forbidden问题排查

核心问题分析 #

你添加的if (options.Events != null)判断是导致问题的直接原因：默认情况下CertificateAuthenticationOptions.Events为null，所以判断内的所有配置（包括自定义证书验证逻辑、吊销模式、允许的证书类型）都没有执行。此时认证使用框架默认逻辑，你的自定义验证逻辑根本没触发，最终导致证书验证不通过，返回403。

修复步骤 #

1. 移除不必要的Events空判断，直接配置认证选项 #

修改AddCertificate的配置代码，去掉if (options.Events != null)包裹，直接初始化验证逻辑（框架会自动创建Events实例）：

builder.Services
    .AddAuthentication(CertificateAuthenticationDefaults.AuthenticationScheme)
    .AddCertificate(options =>
    {
        options.RevocationMode = X509RevocationMode.NoCheck;
        options.AllowedCertificateTypes = CertificateTypes.All;

        options.Events.OnCertificateValidated = context =>
        {
            ThumprintsCertificateValidator validationService = context.HttpContext.RequestServices.GetRequiredService<ThumprintsCertificateValidator>();
            if (validationService.ValidateCertificate(context.ClientCertificate))
            {
                Claim[] claims = new[]
                {
                    new Claim(ClaimTypes.NameIdentifier, context.ClientCertificate.Subject, ClaimValueTypes.String, context.Options.ClaimsIssuer),
                    new Claim(ClaimTypes.Name, context.ClientCertificate.Subject, ClaimValueTypes.String, context.Options.ClaimsIssuer)
                };

                context.Principal = new ClaimsPrincipal(new ClaimsIdentity(claims, context.Scheme.Name));
                context.Success();
            }
            else
            {
                context.Principal = null;
                context.Fail("Request certificate is not valid");
            }

            return Task.CompletedTask;
        };
    })
    .AddCertificateCache(options =>
    {
        options.CacheSize = 1024;
        options.CacheEntryExpiration = TimeSpan.FromMinutes(60);
    });

2. 验证ThumprintsCertificateValidator的逻辑 #

确保ValidateCertificate方法能正确匹配你的测试证书：

• 确认你已将TestCert的指纹添加到验证列表中
• 检查指纹格式（是否去除空格、大小写是否匹配）

3. 确保控制台应用加载的证书包含私钥 #

加载PFX证书时，需指定正确密码，同时确保证书包含私钥（导出PFX时需勾选包含私钥选项），可添加KeyStorageFlags避免权限问题：

handler.ClientCertificates.Add(new X509Certificate2(
    cert.FullName, 
    password: "{你的PFX密码}",
    X509KeyStorageFlags.MachineKeySet | X509KeyStorageFlags.PersistKeySet | X509KeyStorageFlags.Exportable));

4. 确认中间件顺序 #

你的中间件顺序已经正确（UseAuthentication()在UseAuthorization()之前），保持当前配置即可。

额外验证点 #

• 确认API的HTTPS端口与控制台调用的端口一致（当前代码中为7276，避免端口写错）
• 测试浏览器访问/Home/test是否成功，若浏览器正常但控制台失败，重点排查控制台证书加载逻辑

内容的提问来源于stack exchange，提问作者Matteo Pietro Peru