PFX转Base64后，ASP.NET Core Kestrel绑定HTTPS证书报错问题

我有一个PFX格式的证书文件，用以下代码将其转换为Base64字符串：

var cert = new X509Certificate2(@"C:\tmp\localhost.pfx", "password");
var certBytes = cert.RawData;
var certString = Convert.ToBase64String(certBytes);

在ASP.NET Core应用中加载该Base64字符串配置Kestrel HTTPS时，出现错误：

System.NotSupportedException: 'The server mode SSL must use a certificate with the associated private key.'

加载代码如下：

public static void ConfigureHttps(HttpsConnectionAdapterOptions options)
{
    var httpsCert = new X509Certificate2(Convert.FromBase64String(File.ReadAllText(certPath)));
    options.ServerCertificate = httpsCert;
}

核心问题在于X509Certificate2.RawData仅包含证书的公钥主体部分，不包含PFX文件中附带的私钥。

PFX格式本身是包含证书和对应私钥的完整容器，但你转换时提取的RawData只导出了证书本身，私钥并没有被包含进Base64字符串里。当你在Kestrel中加载这个证书时，它没有可用的私钥，而服务器端SSL握手必须使用带私钥的证书来完成身份验证和加密流程，因此抛出这个异常。

有两种可行的修复方式：

方式一：直接将PFX文件的字节数组转为Base64 #

跳过X509Certificate2的中间步骤，直接读取PFX文件的原始字节并转Base64，这样能完整保留证书和私钥：

var pfxBytes = File.ReadAllBytes(@"C:\tmp\localhost.pfx");
var certString = Convert.ToBase64String(pfxBytes);

加载时，需要传入PFX的密码来解锁私钥：

public static void ConfigureHttps(HttpsConnectionAdapterOptions options)
{
    var pfxBytes = Convert.FromBase64String(File.ReadAllText(certPath));
    var httpsCert = new X509Certificate2(pfxBytes, "password");
    options.ServerCertificate = httpsCert;
}

方式二：导出包含私钥的证书字节数组 #

如果必须通过X509Certificate2对象导出，需要使用Export方法并指定包含私钥的格式（如Pkcs12，也就是PFX格式）：

var cert = new X509Certificate2(@"C:\tmp\localhost.pfx", "password");
var certBytes = cert.Export(X509ContentType.Pkcs12, "exportPassword");
var certString = Convert.ToBase64String(certBytes);

加载时同样需要传入导出时设置的密码：

public static void ConfigureHttps(HttpsConnectionAdapterOptions options)
{
    var certBytes = Convert.FromBase64String(File.ReadAllText(certPath));
    var httpsCert = new X509Certificate2(certBytes, "exportPassword");
    options.ServerCertificate = httpsCert;
}

内容的提问来源于stack exchange，提问作者user584018