.NET C#使用SignedCms/CmsSigner签名时添加额外证书的问题

先明确你要实现的OpenSSL命令逻辑：用带私钥的签名证书签名manifest.json，同时把WWDR根证书附加到签名结果里，最终输出DER格式的签名文件。

正确实现步骤 #

1. 加载带私钥的签名证书
   从signerCertWithKey.pem加载证书时，必须确保私钥被正确导入。.NET 5+支持直接加载带私钥的PEM文件：

   var signerCert = X509Certificate2.CreateFromPemFile("signerCertWithKey.pem", "<signerKey passphrase>");
   

   旧版本.NET需要手动解析PEM内容导入私钥，建议优先用.NET 5+版本简化操作。

2. 加载额外的WWDR证书
   无私钥的WWDR证书直接从PEM文件读取即可：

   var wwdrCert = new X509Certificate2("WWDR.pem");
   

3. 配置SignedCms并完成签名
   额外证书要添加到SignedCms.Certificates集合（而非CmsSigner.Certificates），后者是用来构建签名者的证书信任链，不是附加额外证书的地方。完整代码如下：

   using System.Security.Cryptography.Pkcs;
   using System.Security.Cryptography.X509Certificates;
   using System.IO;
   
   // 读取待签名的文件内容
   byte[] content = File.ReadAllBytes("manifest.json");
   
   // 初始化SignedCms，对应OpenSSL的-binary模式
   var signedCms = new SignedCms(new ContentInfo(content), detached: false);
   
   // 配置签名者
   var cmsSigner = new CmsSigner(signerCert)
   {
       // 指定签名摘要算法，和OpenSSL默认行为对齐
       DigestAlgorithm = new Oid("SHA256")
   };
   
   // 将WWDR证书添加到签名的证书集合中
   signedCms.Certificates.Add(wwdrCert);
   
   // 执行签名
   signedCms.ComputeSignature(cmsSigner);
   
   // 导出DER格式的签名文件
   byte[] signatureBytes = signedCms.Encode();
   File.WriteAllBytes("signature", signatureBytes);
   

之前报错的常见原因 #

• 证书加载异常：WWDR证书格式损坏、签名证书密码错误或私钥未正确导入，都会导致后续操作报错。
• 添加位置错误：把WWDR证书加到CmsSigner.Certificates会触发错误，这个集合只用于签名者自身的证书链，不负责附加额外第三方证书。
• 版本兼容问题：旧版本.NET对PEM文件的支持有限，容易出现加载失败的情况。

内容的提问来源于stack exchange，提问作者b.sodhi