.NET Framework 4.6.1 Web API中MTLS实现代码求助

1. IIS前置配置 #

MTLS依赖IIS的客户端证书验证能力，先完成以下设置：

• 确保网站绑定HTTPS协议（MTLS基于TLS，必须使用HTTPS）
• 进入IIS站点的SSL设置，将客户端证书设为「接受」或「必需」：
  • 「必需」：所有请求必须携带客户端证书，否则直接被IIS拒绝
  • 「接受」：允许无证书请求，后续可在代码中针对特定接口强制验证
• 将客户端证书的签发CA证书导入服务器的受信任根证书颁发机构（自定义CA签发的证书必须完成此步骤，否则证书验证会失败）

2. Web API代码验证逻辑 #

方式一：全局过滤器（验证所有接口） #

创建一个Action过滤器，在请求进入控制器前完成证书验证：

using System.Net;
using System.Net.Http;
using System.Web.Http.Filters;

public class ClientCertificateValidationFilter : ActionFilterAttribute
{
    public override void OnActionExecuting(System.Web.Http.Controllers.HttpActionContext actionContext)
    {
        var clientCert = actionContext.Request.GetClientCertificate();

        // 检查证书是否存在
        if (clientCert == null)
        {
            actionContext.Response = actionContext.Request.CreateErrorResponse(HttpStatusCode.Unauthorized, "未提供客户端证书");
            return;
        }

        // 验证证书有效性（自动检查有效期、信任链）
        if (!clientCert.Verify())
        {
            actionContext.Response = actionContext.Request.CreateErrorResponse(HttpStatusCode.Unauthorized, "客户端证书无效");
            return;
        }

        // 可选：验证证书的特定标识（比如主题、指纹）
        if (clientCert.Thumbprint != "允许的证书指纹")
        {
            actionContext.Response = actionContext.Request.CreateErrorResponse(HttpStatusCode.Unauthorized, "客户端证书未被授权");
            return;
        }

        base.OnActionExecuting(actionContext);
    }
}

在WebApiConfig.cs中注册全局过滤器：

public static class WebApiConfig
{
    public static void Register(HttpConfiguration config)
    {
        // 注册全局证书验证过滤器
        config.Filters.Add(new ClientCertificateValidationFilter());

        // 常规路由配置
        config.MapHttpAttributeRoutes();

        config.Routes.MapHttpRoute(
            name: "DefaultApi",
            routeTemplate: "api/{controller}/{id}",
            defaults: new { id = RouteParameter.Optional }
        );
    }
}

方式二：针对特定接口/控制器验证 #

不需要全局验证时，可单独在控制器或Action上应用过滤器：

[ClientCertificateValidationFilter]
public class SecureDataController : ApiController
{
    public IHttpActionResult GetConfidentialData()
    {
        // 获取当前请求的证书信息（可选）
        var cert = Request.GetClientCertificate();
        // 业务逻辑处理
        return Ok("已通过证书验证，返回敏感数据");
    }
}

方式三：消息处理器（更早的拦截点） #

如果需要在请求管道更早阶段处理证书验证，可创建DelegatingHandler：

using System.Net;
using System.Net.Http;
using System.Threading;
using System.Threading.Tasks;

public class ClientCertificateHandler : DelegatingHandler
{
    protected override async Task<HttpResponseMessage> SendAsync(HttpRequestMessage request, CancellationToken cancellationToken)
    {
        var clientCert = request.GetClientCertificate();
        if (clientCert == null || !clientCert.Verify())
        {
            return new HttpResponseMessage(HttpStatusCode.Unauthorized)
            {
                Content = new StringContent("客户端证书无效或未提供")
            };
        }

        // 可选：将证书存入请求属性，供后续控制器使用
        request.Properties["ValidClientCert"] = clientCert;

        return await base.SendAsync(request, cancellationToken);
    }
}

在WebApiConfig.cs中注册处理器：

public static void Register(HttpConfiguration config)
{
    config.MessageHandlers.Add(new ClientCertificateHandler());
    // 其他配置...
}

3. 调试与注意事项 #

• 测试时，确保客户端请求携带正确的客户端证书（比如Postman中可在「设置-证书」里添加.pfx格式的证书及密码）
• 若IIS设为「必需」证书但请求报错，检查客户端证书是否正确配置、服务器是否信任该证书的CA
• clientCert.Verify()会自动验证证书的信任链和有效期，自定义CA必须提前导入服务器的受信任根存储
• 可通过clientCert.Subject、clientCert.SerialNumber等属性实现更细粒度的授权控制

内容的提问来源于stack exchange，提问作者Ajinkya Jadhav