.NET 7 Kestrel本地API的SSL证书在Chrome/Edge异常，Firefox/Postman正常

问题分析 #

你遇到的Chrome/Edge访问时的不安全提示，核心原因大概率是Kestrel未正确发送完整的证书信任链，或者浏览器缓存/系统证书信任存在异常。Firefox和Postman正常是因为它们的证书信任机制与Chrome/Edge（依赖Windows系统证书存储）不同，且Postman可能忽略了部分链验证细节。

解决步骤 #

1. 检查证书加载完整性 #

先确认CertificateManager.GetCertificateFromFile是否正确加载了包含中间、根证书的完整链。在代码中添加控制台输出验证：

var lovCertificate = CertificateManager.GetCertificateFromFile("wildcard.mycompany.com2024");
Console.WriteLine($"证书主题: {lovCertificate.Subject}");
Console.WriteLine($"证书颁发者: {lovCertificate.Issuer}");

// 构建证书链并打印所有节点
var chain = new X509Chain();
chain.ChainPolicy.RevocationMode = X509RevocationMode.NoCheck; // 本地测试跳过吊销检查
bool chainBuilt = chain.Build(lovCertificate);
Console.WriteLine($"证书链构建状态: {chainBuilt}");
foreach (var element in chain.ChainElements)
{
    Console.WriteLine($"链节点: {element.Certificate.Subject}");
}

如果输出中缺少中间证书，说明PFX文件可能未正确包含，或者加载方法未提取完整链。此时可改用直接加载PFX集合的方式：

// 直接从PFX加载完整证书集合
var certCollection = new X509Certificate2Collection();
certCollection.Import("path/to/wildcard.mycompany.com2024.pfx", "你的PFX密码", X509KeyStorageFlags.PersistKeySet);
// 筛选出叶证书（通配符证书）
var leafCert = certCollection.First(c => c.Subject.Equals("CN=*.mycompany.com", StringComparison.OrdinalIgnoreCase));

2. 修改Kestrel SSL配置 #

单证书场景下无需使用ServerCertificateSelector，直接指定证书并显式配置证书链：

.UseKestrel(options =>
{
    // 替换为正确的证书加载逻辑
    var certCollection = new X509Certificate2Collection();
    certCollection.Import("path/to/wildcard.mycompany.com2024.pfx", "你的PFX密码", X509KeyStorageFlags.PersistKeySet);
    var leafCert = certCollection.First(c => c.Subject.Contains("*.mycompany.com"));
    
    options.AddServerHeader = false;
    
    options.Listen(IPAddress.Any, 5001, listenOptions =>
    {
        listenOptions.UseConnectionLogging();
        listenOptions.Protocols = HttpProtocols.Http1AndHttp2;
        if (leafCert != null) 
        {
            listenOptions.UseHttps(httpsOptions =>
            {
                httpsOptions.ServerCertificate = leafCert;
                // 添加中间证书到链中
                foreach (var cert in certCollection.Where(c => c != leafCert))
                {
                    httpsOptions.ServerCertificateChain.Add(cert);
                }
                // 指定安全的SSL协议
                httpsOptions.SslProtocols = SslProtocols.Tls12 | SslProtocols.Tls13;
            });
        }
    });
})
// 启用UseUrls确保绑定到正确域名
.UseUrls("https://log.mycompany.com:5001")
.UseStartup<Startup>();

3. 验证服务器证书链发送 #

用openssl命令行工具检查服务器是否正确发送完整链：

openssl s_client -connect log.mycompany.com:5001 -showcerts

输出中应该依次显示叶证书、中间证书、根证书。如果只有叶证书，说明Kestrel配置仍有问题。

4. 修复浏览器缓存与信任问题 #

• Chrome：
  1. 访问chrome://net-internals/#hsts，在“Delete domain security policies”中输入log.mycompany.com并删除。
  2. 清除浏览器缓存：chrome://settings/clearBrowserData，勾选“Cached images and files”和“Site Settings”，执行清除。
• Edge：
  1. 访问edge://settings/privacy/security，点击“Manage certificates”，确认根证书和中间证书已在“Trusted Root Certification Authorities”和“Intermediate Certification Authorities”目录中。
  2. 清除浏览数据：edge://settings/clearBrowserData，勾选对应选项执行清除。

5. 系统证书存储验证 #

打开Windows的certlm.msc（本地计算机证书存储）：

• 确认根证书在“Trusted Root Certification Authorities -> Certificates”中。
• 确认中间证书在“Intermediate Certification Authorities -> Certificates”中。
  如果缺失，手动导入对应的证书文件。

内容的提问来源于stack exchange，提问作者TiboVh