Windows Service托管ASP.NET Core应用指纹证书配置故障求助

问题描述 #

按教程创建Windows Service托管的ASP.NET Core Web应用，HTTP端点运行正常，但通过证书指纹配置HTTPS时，服务启动2-3秒后自动停止，事件日志提示无法找到服务器证书。

配置文件（appsettings.json） #

"Kestrel": {
    "Endpoints": {
      "Http": {
        "Url": "http://*:5010"
      },
      "Https": {
        "Url": "https://*:5011",
        "Certificate": {
          "Thumbprint": "D24422F5A62359FAD4B18EBE27A5C14735879333",
          "Store": "My",
          "Location": "LocalMachine",
          "AllowInvalid": "false"
        }
      }
   }
}

证书情况 #

• DigiCert签发的生产级证书，已通过certlm导入LocalMachine\My存储
• 配置中的指纹直接从证书属性复制

事件日志错误信息 #

CoreCLR Version: 6.0.2023.32017
.NET Version: 6.0.20
Description: The process was terminated due to an unhandled exception.
Exception Info: System.InvalidOperationException: Unable to configure HTTPS endpoint. No server certificate was specified, and the default developer certificate could not be found or is out of date.
To generate a developer certificate run 'dotnet dev-certs https'. To trust the certificate (Windows and macOS only) run 'dotnet dev-certs https --trust'.

at Microsoft.AspNetCore.Server.Kestrel.KestrelConfigurationLoader.Reload()
at Microsoft.AspNetCore.Server.Kestrel.KestrelConfigurationLoader.Load()
at Microsoft.AspNetCore.Server.Kestrel.Core.KestrelServerImpl.BindAsync(CancellationToken cancellationToken)
at Microsoft.AspNetCore.Server.Kestrel.Core.KestrelServerImpl.StartAsync[TContext](IHttpApplication`1 application, CancellationToken cancellationToken)
at Microsoft.AspNetCore.Hosting.GenericWebHostService.StartAsync(CancellationToken cancellationToken)
at Microsoft.Extensions.Hosting.Internal.Host.StartAsync(CancellationToken cancellationToken)
at Microsoft.Extensions.Hosting.HostingAbstractionsHostExtensions.RunAsync(IHost host, CancellationToken token)
at Microsoft.Extensions.Hosting.HostingAbstractionsHostExtensions.RunAsync(IHost host, CancellationToken token)
at Microsoft.Extensions.Hosting.HostingAbstractionsHostExtensions.Run(IHost host)
at Microsoft.AspNetCore.Builder.WebApplication.Run(String url)
at Program.$(String[] args)

已尝试的无效操作 #

• 调整Kestrel配置组合、更换证书存储位置
• 给证书设置Everyone读取权限
• 仅PFX文件+硬编码密码的配置可正常运行，但不符合需求（必须用指纹）

解决方案 #

1. 修正证书指纹的隐藏字符问题 #

从certlm复制指纹时，常包含不可见的前导/尾随字符，导致配置中的指纹与实际证书不匹配：

• 手动输入指纹，或把复制的指纹粘贴到记事本，删除所有空白和隐藏字符后再复制到配置文件
• 用PowerShell获取纯净指纹：

  Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object {$_.Subject -match "你的证书主题"} | Select-Object -ExpandProperty Thumbprint
  

  直接复制输出的字符串作为配置中的指纹。

2. 配置服务账户的证书读取权限 #

Windows服务默认使用LocalSystem账户，需确保该账户拥有证书的读取权限：

1. 打开certlm，找到目标证书，右键→所有任务→管理私钥
2. 添加LocalSystem账户，赋予读取权限（无需完全控制）
3. 重启Windows服务

3. 验证证书有效性与用途 #

• 确认证书的**增强密钥用法（EKU）**包含服务器认证（Server Authentication）
• 用命令验证证书链完整性：

  certutil -verify -urlfetch D24422F5A62359FAD4B18EBE27A5C14735879333
  

  确保无链验证错误。

4. 代码层面显式配置证书查找 #

若配置文件方式仍失效，可在Program.cs中手动配置Kestrel，明确证书查找逻辑：

builder.WebHost.ConfigureKestrel(options =>
{
    // 配置HTTP端点
    options.ListenAnyIP(5010);

    // 配置HTTPS端点
    options.ListenAnyIP(5011, listenOptions =>
    {
        listenOptions.UseHttps(httpsOptions =>
        {
            using var certStore = new X509Store(StoreName.My, StoreLocation.LocalMachine);
            certStore.Open(OpenFlags.ReadOnly);
            
            var certificates = certStore.Certificates.Find(
                X509FindType.FindByThumbprint,
                "D24422F5A62359FAD4B18EBE27A5C14735879333",
                validOnly: true);
            
            if (certificates.Count == 0)
            {
                throw new InvalidOperationException("未找到匹配指纹的有效证书");
            }
            
            httpsOptions.ServerCertificate = certificates[0];
        });
    });
});

该方式可更精准控制证书查找流程，也便于添加日志排查问题。

5. 修正配置文件格式错误 #

• 确保AllowInvalid是布尔值而非字符串：将"AllowInvalid": "false"改为"AllowInvalid": false
• 检查Location和Store的拼写与大小写：必须为LocalMachine和My

内容的提问来源于stack exchange，提问作者SZL