使用Npgsql 6从PEM文件创建X509Certificate失败问题排查

问题 #

在ASP.NET应用中使用Npgsql 6.0.8连接云PostgreSQL服务，要求SSL Mode设为require，并使用提供的PEM证书文件作为SSL证书。将ca.pem文件添加到项目后，出现如下错误：

Exception has occurred: CLR/System.Security.Cryptography.CryptographicException
An exception of type 'System.Security.Cryptography.CryptographicException' occurred in System.Security.Cryptography.X509Certificates.dll but was not handled in user code: 'The key contents do not contain a PEM, the content is malformed, or the key does not match the certificate.'
   at System.Security.Cryptography.X509Certificates.X509Certificate2.ExtractKeyFromPem[TAlg](ReadOnlySpan`1 keyPem, String[] labels, Func`1 factory, Func`2 import)
   at System.Security.Cryptography.X509Certificates.X509Certificate2.CreateFromPem(ReadOnlySpan`1 certPem, ReadOnlySpan`1 keyPem)
   at System.Security.Cryptography.X509Certificates.X509Certificate2.CreateFromPemFile(String certPemFilePath, String keyPemFilePath)

手动测试发现：读取ca.pem内容转为字符串传入CreateFromPem可成功创建证书，但直接调用CreateFromPemFile读取文件时触发上述错误。测试代码如下：

var pem = File.ReadAllText(certificatePath); // 读取PEM文件内容
var cert2 = X509Certificate2.CreateFromPem(pem); // 从字符串创建证书成功
var cert3 = X509Certificate2.CreateFromPemFile("ca.pem"); // 从文件创建证书失败

解决方案 #

1. 修复文件编码问题 #

File.ReadAllText默认会自动处理带BOM的UTF-8编码，但CreateFromPemFile会把开头的BOM字符当作PEM内容的一部分，导致解析失败。

• 操作：用VS Code等编辑器打开ca.pem，将编码改为无BOM的UTF-8后保存。

2. 修正文件路径问题 #

CreateFromPemFile("ca.pem")使用的相对路径，运行时程序的工作目录可能不是项目根目录，导致读取到错误的文件。

• 操作：
  1. 将ca.pem的复制到输出目录属性设置为始终复制或如果较新则复制；
  2. 使用绝对路径调用方法，示例：

     var cert3 = X509Certificate2.CreateFromPemFile(Path.Combine(AppContext.BaseDirectory, "ca.pem"));
     

3. 统一换行格式 #

Windows的CRLF换行格式可能导致CreateFromPemFile解析异常，而File.ReadAllText会自动转换换行符。

• 操作：将ca.pem的换行格式改为Unix风格的LF，再重新测试。

4. 直接通过Npgsql连接字符串配置 #

无需手动创建X509Certificate2实例，直接在连接字符串中指定证书路径：

Server=你的服务器地址;Port=5432;Database=你的数据库名;User Id=用户名;Password=密码;SSL Mode=Require;Root Certificate=ca.pem

确保ca.pem已复制到程序输出目录，路径配置正确。

内容的提问来源于stack exchange，提问作者Hadi Samadzad