.NET 7.0配置Kestrel实现局域网HTTPS API调用遇权限问题求助

问题背景 #

• 需求：在.NET 7.0 API中配置Kestrel，让局域网内客户端通过自定义域名HTTPS访问API（用于摄像头等功能）
• 现有配置：自定义域名证书存储在C盘，密码通过GUID定义在.csproj文件，证书路径配置在appsettings.Development.json中
• 问题：参考.NET Core 3.1教程编写代码后，运行出现空引用警告和访问拒绝异常

现有代码 #

HostConfig.cs #

public static class HostConfig
{
  public static string? CertPath { get; set; }
  public static string? CertPassword { get; set; }
}

Program.cs #

using Dot7.API.CRUD.Data;
using Microsoft.EntityFrameworkCore;

var builder = WebApplication.CreateBuilder(args);

builder.WebHost.UseKestrel(opt =>
{
  opt.ListenAnyIP(5000);
  opt.ListenAnyIP(5001, listOpt =>
  {
    listOpt.UseHttps(builder.Configuration["CertPath"], builder.Configuration["CertPassword"]);
  });
});

builder.Services.AddCors(options =>
{
  options.AddPolicy("Cors", p =>
  {
    p.AllowAnyOrigin()
          .AllowAnyHeader()
          .AllowAnyMethod();
  });
});

builder.Services.AddControllers();
builder.Services.AddEndpointsApiExplorer();
builder.Services.AddSwaggerGen();

builder.Services.AddDbContext<databaseContext>(options =>
{
  options.UseSqlServer(builder.Configuration.GetConnectionString("databaseConnection"));
});

var app = builder.Build();

if (app.Environment.IsDevelopment())
{
  app.UseSwagger();
  app.UseSwaggerUI();
}

app.UseCors("Cors");

app.UseHttpsRedirection();

app.UseAuthorization();

app.MapControllers();

app.Run();

运行时错误信息 #

警告 CS8604: 参数 'fileName' 可能为 null 引用

未处理异常：System.Security.Cryptography.CryptographicException: 访问被拒绝。
at System.Security.Cryptography.X509Certificates.CertificatePal.FilterPFXStore(ReadOnlySpan1 rawData, SafePasswordHandle password, PfxCertStoreFlags pfxCertStoreFlags) at System.Security.Cryptography.X509Certificates.CertificatePal.FromBlobOrFile(ReadOnlySpan1 rawData, String fileName, SafePasswordHandle password, X509KeyStorageFlags keyStorageFlags)
...
at Program.

$(String[] args) in C:\Desktop\dotnet7-vue3-crud - Developpment - HTTPS\Dot7.API.CRUD\Program.cs:line 34

解决步骤 #

1. 修复空引用警告（CS8604） #

• 确认appsettings.Development.json中配置项正确，示例：

  {
    "CertPath": "C:\\certs\\your-custom-cert.pfx",
    "CertPassword": "你的GUID格式密码"
  }
  

• 在Program.cs中添加空值校验，避免传递null参数：

  // 读取配置并做非空校验
  var certPath = builder.Configuration["CertPath"] ?? throw new InvalidOperationException("未配置CertPath");
  var certPassword = builder.Configuration["CertPassword"] ?? throw new InvalidOperationException("未配置CertPassword");
  
  builder.WebHost.UseKestrel(opt =>
  {
    opt.ListenAnyIP(5000);
    opt.ListenAnyIP(5001, listOpt =>
    {
      listOpt.UseHttps(certPath, certPassword);
    });
  });
  

2. 解决"访问被拒绝"异常 #

该异常是程序无权限读取C盘证书文件，或加载证书时权限不足，可通过以下方式解决：

• 方法一：调整证书文件权限
  右键证书文件 → 属性 → 安全 → 添加当前运行程序的用户（或Everyone），赋予读取权限
• 方法二：指定证书存储标志加载
  改用显式加载证书并设置存储标志，绕过文件权限限制：

  // 添加命名空间引用
  using System.Security.Cryptography.X509Certificates;
  
  var cert = new X509Certificate2(
    certPath, 
    certPassword, 
    X509KeyStorageFlags.MachineKeySet | X509KeyStorageFlags.PersistKeySet | X509KeyStorageFlags.Exportable
  );
  
  builder.WebHost.UseKestrel(opt =>
  {
    opt.ListenAnyIP(5000);
    opt.ListenAnyIP(5001, listOpt =>
    {
      listOpt.UseHttps(cert);
    });
  });
  

• 方法三：将证书导入系统存储区
  把PFX证书导入本地计算机的"个人"证书存储区，通过证书主题或指纹加载，彻底避免文件权限问题：

  builder.WebHost.UseKestrel(opt =>
  {
    opt.ListenAnyIP(5000);
    opt.ListenAnyIP(5001, listOpt =>
    {
      listOpt.UseHttps(opt =>
      {
        opt.ServerCertificate = new X509Certificate2(
          StoreName.My, 
          StoreLocation.LocalMachine, 
          "你的自定义域名", 
          X509FindType.FindBySubjectName
        );
      });
    });
  });
  

3. 局域网访问额外配置 #

• 客户端PC需修改hosts文件，添加域名到API服务器IP的映射：
  打开C:\Windows\System32\drivers\etc\hosts，添加一行：

  192.168.x.x  your-custom-domain.com
  

• 开放API服务器的5001端口防火墙规则，允许局域网内访问

内容的提问来源于stack exchange，提问作者Oddy