如何使用YubiKey通过C#实现XML文件签名？解决PIN无弹窗问题

1. 确认YubiKey证书在Windows证书存储的有效性 #

• 使用YubiKey Manager生成或导入证书时，必须保证证书关联的私钥存储在YubiKey硬件中，而非本地。打开certmgr.msc，在「个人」→「证书」中找到YubiKey对应的证书，右键查看「详细信息」，确认「加密服务提供程序」为Yubico Smart Key CSP或Microsoft Smart Card Key Storage Provider。
• 若导入SafeNet的证书到YubiKey，需通过YubiKey Manager选择「导入到设备」，避免私钥留在本地存储。

2. 调整C#代码触发YubiKey PIN弹窗并获取私钥 #

SafeNet的CSP会自动触发PIN验证，但YubiKey需显式配置UI保护参数。以下是兼容SafeNet实现逻辑的签名代码：

using System.Security.Cryptography;
using System.Security.Cryptography.X509Certificates;
using System.Security.Cryptography.Xml;
using System.Xml;

public static void SignXmlWithSmartCard(XmlDocument unsignedXml, X509Certificate2 smartCardCert)
{
    RSA privateKey = smartCardCert.GetRSAPrivateKey();
    
    // 适配传统CSP（兼容SafeNet逻辑）
    if (privateKey is RSACryptoServiceProvider rsaCsp)
    {
        var cspParams = new CspParameters(rsaCsp.CspKeyContainerInfo.ProviderType, rsaCsp.CspKeyContainerInfo.ProviderName)
        {
            KeyContainerName = rsaCsp.CspKeyContainerInfo.KeyContainerName,
            Flags = CspProviderFlags.UseExistingKey | CspProviderFlags.UseUserProtectedKey
        };
        
        using var rsaWithPinPrompt = new RSACryptoServiceProvider(cspParams);
        GenerateSignedXml(unsignedXml, rsaWithPinPrompt, smartCardCert);
    }
    // 适配YubiKey默认的CNG加密服务
    else if (privateKey is RSACng rsaCng)
    {
        rsaCng.Key.UIPolicy = new CngUIPolicy(CngUIProtectionLevels.ForceHighProtection);
        GenerateSignedXml(unsignedXml, rsaCng, smartCardCert);
    }
    else
    {
        throw new InvalidOperationException("无法识别YubiKey的私钥类型");
    }
}

private static void GenerateSignedXml(XmlDocument xmlDoc, RSA signingKey, X509Certificate2 cert)
{
    var signedXml = new SignedXml(xmlDoc)
    {
        SigningKey = signingKey
    };

    // 添加XML签名引用与转换规则
    var reference = new Reference { Uri = "" };
    reference.AddTransform(new XmlDsigEnvelopedSignatureTransform());
    reference.AddTransform(new XmlDsigC14NTransform());
    signedXml.AddReference(reference);

    // 附加证书公钥信息供API验证
    var keyInfo = new KeyInfo();
    keyInfo.AddClause(new KeyInfoX509Data(cert));
    signedXml.KeyInfo = keyInfo;

    // 计算并嵌入签名
    signedXml.ComputeSignature();
    XmlElement signatureNode = signedXml.GetXml();
    xmlDoc.DocumentElement.AppendChild(xmlDoc.ImportNode(signatureNode, true));
}

3. 关键配置与测试要点 #

• PIN弹窗触发：CspProviderFlags.UseUserProtectedKey（CSP模式）和CngUIProtectionLevels.ForceHighProtection（CNG模式）是强制弹出PIN对话框的核心参数，不可省略。
• 权限检查：确保运行代码的用户拥有「读取智能卡」权限，可通过Windows「本地安全策略」→「用户权限分配」添加对应权限。
• 测试流程：
  1. 用YubiKey Manager生成自签证书，确认证书出现在certmgr.msc的个人存储中；
  2. 调用签名方法时传入YubiKey证书，此时应弹出PIN输入框；
  3. 输入正确PIN后生成签名XML，POST至目标API验证有效性。

内容的提问来源于stack exchange，提问作者AztecCodes