客户端证书认证HTTPS请求：WebRequest可用，HttpClient/Invoke-WebRequest报403

1. 证书加载时的私钥访问权限差异 #

WebRequest在加载PFX证书时，默认会自动处理私钥的访问权限，即使不显式指定X509KeyStorageFlags，也能正确读取私钥完成认证。而HttpClient使用HttpClientHandler加载证书时，如果不手动指定X509KeyStorageFlags.Exportable | X509KeyStorageFlags.PersistKeySet，系统可能限制私钥的访问，导致证书无法被正确用于客户端认证，服务器因此返回403。

错误写法（HttpClient）：

var handler = new HttpClientHandler();
handler.ClientCertificates.Add(new X509Certificate2("cert.pfx", "password"));

正确写法：

var cert = new X509Certificate2("cert.pfx", "password", X509KeyStorageFlags.Exportable | X509KeyStorageFlags.PersistKeySet);
handler.ClientCertificates.Add(cert);

2. Invoke-WebRequest的证书参数使用误区 #

Invoke-WebRequest的-Certificate参数要求传入带私钥的证书对象，而非直接传入PFX文件路径。仅指定文件路径时，PowerShell无法正确加载私钥，导致认证失败。正确做法是先通过Get-PfxCertificate加载证书对象：

$certPassword = ConvertTo-SecureString "your-password" -AsPlainText -Force
$cert = Get-PfxCertificate -FilePath "cert.pfx" -Password $certPassword
Invoke-WebRequest -Uri "https://your-server.com" -Certificate $cert

3. TLS协议版本与握手细节差异 #

WebRequest默认TLS协议版本可能偏旧（如TLS 1.0/1.1），部分服务器仅允许旧协议下的客户端证书认证流程；而HttpClient和Invoke-WebRequest默认启用TLS 1.2+，可能触发服务器不同的认证逻辑，导致证书未被正确校验。可手动指定TLS版本匹配WebRequest的行为：

HttpClient设置TLS版本： #

ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls | SecurityProtocolType.Tls11 | SecurityProtocolType.Tls12;

Invoke-WebRequest设置TLS版本： #

[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls -bor [Net.SecurityProtocolType]::Tls11 -bor [Net.SecurityProtocolType]::Tls12

4. HttpClientHandler的复用与配置问题 #

HttpClient会复用底层的HttpClientHandler实例，如果第一次创建Handler时证书配置错误，后续请求会继承错误配置；若Handler被提前Dispose，也会导致证书无法正常发送。需确保创建HttpClient时，Handler的证书配置正确且未被意外释放。

5. 证书链验证策略差异 #

WebRequest可能被你默认设置了跳过证书链验证（比如通过ServerCertificateValidationCallback返回true），而HttpClient/Invoke-WebRequest默认启用完整的证书链验证。如果服务器的CA证书不在本地信任存储中，客户端会终止验证流程，服务器可能返回403而非SSL错误。可手动关闭链验证匹配WebRequest的行为：

HttpClient关闭链验证： #

handler.ServerCertificateCustomValidationCallback = (sender, cert, chain, sslPolicyErrors) => true;

Invoke-WebRequest关闭链验证： #

[Net.ServicePointManager]::ServerCertificateValidationCallback = {$true}

内容的提问来源于stack exchange，提问作者ABF