无法在存储区找到X509证书问题求助（HostGator+Plesk环境）

我的Web应用部署在HostGator的Windows共享主机上，已通过Plesk内置工具完成Let's Encrypt SSL证书的自动安装，浏览器访问站点时能正常识别加密连接。但通过以下代码按指纹获取X509证书时始终失败，尝试过CurrentUser和LocalMachine存储区，结果一致：

var x509Store = new X509Store(StoreLocation.CurrentUser);
x509Store.Open(OpenFlags.ReadOnly);

var x509Certificate = x509Store.Certificates
    .Find(
        X509FindType.FindByThumbprint,
        builder.Configuration["Config:AzureADCertThumbprint"],
        validOnly: false)
    .OfType<X509Certificate2>()
    .Single();
x509Store.Close();

为排查问题，我编写了遍历所有证书存储区的代码并记录日志：

logfile.WriteLine("\r\nExists Certs Name and Location");
logfile.WriteLine("------ ----- -------------------------");

foreach (StoreLocation storeLocation in (StoreLocation[])
    Enum.GetValues(typeof(StoreLocation)))
{
    foreach (StoreName storeName in (StoreName[])
        Enum.GetValues(typeof(StoreName)))
    {
        X509Store store = new X509Store(storeName, storeLocation);

        try
        {
            store.Open(OpenFlags.OpenExistingOnly);

            logfile.WriteLine("Yes    {0,4}  {1}, {2}",
                store.Certificates.Count, store.Name, store.Location);

            foreach(var cert in store.Certificates)
            {
                logfile.WriteLine("---"+cert.Thumbprint+" name: "+cert.Subject);
            }
        }
        catch (CryptographicException)
        {
            logfile.WriteLine("No           {0}, {1}",
                store.Name, store.Location);
        }
    }
    logfile.WriteLine();
}

日志显示存储区内有大量证书（包括Let's Encrypt证书），但始终找不到与目标指纹匹配的条目。我已尝试用openssl计算sha256、sha1、md5格式的指纹，均无匹配（sha1指纹为证书创建时从Plesk获取的）。

解决方案 #

• 证书存储位置限制：共享主机上Plesk安装的SSL证书通常不会存放在CurrentUser或LocalMachine的标准证书存储区，而是托管在IIS站点绑定的专属存储中，且共享主机的权限限制会导致应用池身份无法访问这些存储区。

• 直接加载PFX证书文件：

  1. 登录Plesk，找到对应域名的SSL证书，导出包含私钥的PFX格式证书（设置保护密码）。
  2. 将PFX文件上传到网站目录外的安全路径（避免公开访问）。
  3. 修改代码直接加载PFX文件，示例：

     // 替换为你的PFX文件路径和密码
     var certPath = Path.Combine(AppContext.BaseDirectory, "..", "secure", "your-cert.pfx");
     var cert = new X509Certificate2(
         certPath, 
         "your-pfx-password", 
         X509KeyStorageFlags.MachineKeySet | X509KeyStorageFlags.PersistKeySet
     );
     

  注：X509KeyStorageFlags参数可避免共享主机上的权限问题，确保应用能访问证书私钥。

• 清理指纹格式：
  检查配置文件中的指纹是否存在多余空格、全角字符或换行符，建议手动输入或用文本编辑器清理后再测试，避免格式问题导致匹配失败。

• 确认证书私钥可用性：
  用于Azure AD认证的证书需要包含私钥，直接导出PFX格式可确保获取完整的证书链和私钥，避免存储区中证书与私钥分离的问题。

内容的提问来源于stack exchange，提问作者ASpaceWorm