.NET Core下使用HttpClient调用带自签名客户端证书的Web API报错

问题背景 #

我们正将代码从.NET 4.7.2迁移至.NET 7，其余项目均已完成迁移，唯有一个调用第三方Web API的项目出现问题。该第三方服务要求使用客户端证书，但未提供调用示例代码。

环境配置 #

• 拥有调用供应商API的Web服务和多个Winforms应用程序
• 需要调用该服务的工作站/服务器会生成自签名证书，证书已安装在计算机和当前用户的受信任根证书存储中
• 已将证书导出提供给供应商，在生成证书的设备上使用指定代码调用服务

.NET 4.7.2下的成功调用方式 #

• 以管理员权限运行程序时可正常调用，无权限则失败
• 通过advapi32.dll的LoginUser模拟管理员账户，提升权限后运行请求也可成功

.NET Core/.NET 7下的问题 #

上述两种方式在.NET Core中均失败，调用返回500 Internal Server错误，错误信息如下：

An unexpected error occurred.

System.Exception: Unable to GetCertificate from: ggWeb.ggWebCrh ClientIP: xxx.xxx.xxx.xx

System.Exception: X-ENV-SSL_CLIENT_CERTIFICATE returned blank

at Vendor.ggWeb.ggWebCrh.GetCertificate(WebHeaderCollection phdr)

at Vendor.ggWeb.ggWebRsc.ExecuteBo(Int32 plngWebServiceKey, Boolean pblnTest, Stream pstmInput, ggMsgObj pmsgUrlParameters)

at Vendor.ggWeb.ggWebRsc.ExecuteBo(Int32 plngWebServiceKey, Boolean pblnTest, Stream pstmInput, ggMsgObj pmsgUrlParameters)

按文章建议导出带密码的pfx证书后，在.NET 4.7.2下仍可正常运行；在ServerCertificateCustomValidationCallback事件中能查看供应商的GlobalSign SSL证书信息。已发现.NET Core中客户端证书协商逻辑的变更可能与此问题相关。

示例代码 #

HttpClient 方式 #

//********************************
//******* Using HttpClient *******
//********************************
System.Net.Http.HttpClient objClient = null;
System.Net.Http.HttpClientHandler objHandler = null;

objHandler = new System.Net.Http.HttpClientHandler();
objHandler.ClientCertificateOptions = System.Net.Http.ClientCertificateOption.Manual;
objHandler.SslProtocols = System.Security.Authentication.SslProtocols.Tls12;
objHandler.ClientCertificates.Add(new System.Security.Cryptography.X509Certificates.X509Certificate2(fncFileToByteArray("C:\\MyCert.cer")));

//objHandler.ClientCertificates.Add(new System.Security.Cryptography.X509Certificates.X509Certificate2(fncFileToByteArray("C:\\MYCert.pfx"), "MyPassword"));
objHandler.CheckCertificateRevocationList = false;
objHandler.ServerCertificateCustomValidationCallback +=
(sender2, certificate, chain, sslPolicyErrors) =>
{
    return true;
};

objClient = new System.Net.Http.HttpClient(objHandler);
objClient.BaseAddress = new Uri("https://Vendor.com/Api/Endpoint");
objClient.DefaultRequestHeaders.Accept.Add(new System.Net.Http.Headers.MediaTypeWithQualityHeaderValue("application/json"));
objClient.Timeout = TimeSpan.FromSeconds(15);
System.Net.Http.HttpResponseMessage rmResponse = null;
rmResponse = objClient.GetAsync("?SomeQuery=12345").GetAwaiter().GetResult();
//if (!rmResponse.IsSuccessStatusCode)
System.String strResult = rmResponse.Content.ReadAsStringAsync().GetAwaiter().GetResult();
System.Net.HttpWebResponse wrResponse = null;

WebRequest 方式 #

//******************************************
//******* Using Relegated WebRequest *******
//******************************************
System.String strUrl = txtUrl.Text;
System.Net.HttpWebRequest objWebRequest = (System.Net.HttpWebRequest)System.Net.WebRequest.Create("https://Vendor.com/Api/Endpoint?SomeQuery=12345");
objWebRequest.Method = "GET";
objWebRequest.Accept = "application/json";
objWebRequest.CachePolicy = new System.Net.Cache.HttpRequestCachePolicy(System.Net.Cache.HttpRequestCacheLevel.NoCacheNoStore);
objWebRequest.ClientCertificates.Add(new System.Security.Cryptography.X509Certificates.X509Certificate(fncFileToByteArray("C:\\MyCert.cer")));
objWebRequest.ServerCertificateValidationCallback = delegate { return true; };
wrResponse = (System.Net.HttpWebResponse)objWebRequest.GetResponse();
if (wrResponse.StatusCode != System.Net.HttpStatusCode.OK)
{
    throw new System.Net.WebException("Unknown Status Code Returned");
}
String strResponseStream = null;
using (var reader = new System.IO.StreamReader(wrResponse.GetResponseStream()))
{
    strResponseStream = reader.ReadToEnd();
}

解决思路与方案探索方向 #

1. 证书格式与私钥完整性：.cer文件仅包含公钥，客户端证书认证需要私钥完成握手，建议优先使用包含私钥的PFX格式证书加载，避免权限依赖。加载时可指定X509KeyStorageFlags解决私钥访问问题：

var cert = new X509Certificate2(
    fncFileToByteArray("C:\\MYCert.pfx"), 
    "MyPassword", 
    X509KeyStorageFlags.MachineKeySet | X509KeyStorageFlags.PersistKeySet | X509KeyStorageFlags.Exportable);
objHandler.ClientCertificates.Add(cert);

2. 强制证书协商触发：.NET Core默认不会主动发起客户端证书协商，需确认第三方服务是否要求初始握手时提交证书。可尝试通过配置或自定义Handler强制在TLS握手阶段发送证书。
3. 权限模型差异适配：.NET Core对证书存储的访问权限控制更严格，即使模拟管理员也可能无法读取存储中的证书。直接从文件加载PFX证书可绕过存储权限问题。
4. TLS握手抓包对比：使用Wireshark等工具抓包，对比.NET Framework和.NET 7下的TLS握手流程，确认证书是否在握手阶段被正确发送给服务器。
5. 验证证书上下文：确保当前进程对证书私钥有足够访问权限，可尝试以管理员身份运行.NET 7程序，或调整证书私钥的权限设置。

内容的提问来源于stack exchange，提问作者tsvsega