.NET Core WebAPI配置Kestrel用证书存储自签名证书遇TLS错误

问题详情 #

在局域网运行.NET Core WebAPI，切换HTTPS通信时：

• 直接加载项目文件夹内的PFX证书到X509Certificate2，Kestrel服务器可正常提供HTTPS服务。
• 改用证书存储中的同一张证书时，访问报错：Error: Client network socket disconnected before secure TLS connection was established。
• 对比两个X509Certificate2对象，仅Handle属性不同，其余一致。

现有代码 #

Kestrel配置

public static IHostBuilder CreateHostBuilder(string[] args) =>
    Host.CreateDefaultBuilder(args)
        .ConfigureWebHostDefaults(webBuilder =>
        {
            webBuilder
            .UseKestrel(options =>
            {
                var certificate = new X509Certificate2("localhost.pfx", "YourSecurePassword");
                string lovThumbprint = "d822eebae68129f0fd10295060963bbf41101231";
                var lovCertificateFromStore = GetCertificateByThumbprint(lovThumbprint);
                options.AddServerHeader = false;
                options.Listen(IPAddress.Any, 5001, listenOptions =>
                {
                    // 使用lovCertificateFromStore时出现TLS错误
                    listenOptions.UseHttps(certificate);
                });
            })
            .UseUrls("https://0.0.0.0:5001")
            .UseStartup<Startup>();
        });

证书存储读取函数

private static X509Certificate2 GetCertificateByThumbprint(string povThumbprint)
{
    using (var store = new X509Store(StoreName.CertificateAuthority, StoreLocation.LocalMachine))
    {
        store.Open(OpenFlags.ReadOnly);
        var certificates = store.Certificates.Find(X509FindType.FindByThumbprint, povThumbprint, validOnly: false);
        return certificates.Count > 0 ? certificates[0] : null;
    }
}

问题原因 #

1. 证书存储位置错误：服务器证书应存放在StoreName.My（个人证书存储），而非StoreName.CertificateAuthority（CA证书存储）。CA存储用于存放信任的根证书，Kestrel无法从这里获取可用于服务端的证书私钥。
2. 私钥访问权限缺失：从存储加载证书时，运行WebAPI的账户可能没有证书私钥的读取权限，导致Kestrel无法完成TLS握手。
3. 证书指纹格式问题：复制的指纹可能包含空格，导致查找不到正确的证书（或找到的证书不匹配）。

解决方法 #

1. 修正证书存储位置 #

将读取证书的存储名称改为StoreName.My：

private static X509Certificate2 GetCertificateByThumbprint(string povThumbprint)
{
    using (var store = new X509Store(StoreName.My, StoreLocation.LocalMachine))
    {
        store.Open(OpenFlags.ReadOnly);
        var certificates = store.Certificates.Find(X509FindType.FindByThumbprint, povThumbprint, validOnly: false);
        return certificates.Count > 0 ? certificates[0] : null;
    }
}

2. 确保证书包含私钥并设置权限 #

• 打开certlm.msc（本地计算机证书管理器），定位到个人→证书，找到目标证书。
• 右键证书→所有任务→管理私钥，添加运行WebAPI的账户（如IIS应用池账户、当前登录用户），并授予读取权限。
• 代码中可通过lovCertificateFromStore.HasPrivateKey验证是否获取到私钥，返回true才正常。

3. 清理证书指纹格式 #

去除指纹中的空格（若有），确保为纯十六进制字符串：

string lovThumbprint = "d822eebae68129f0fd10295060963bbf41101231".Replace(" ", "");

4. 验证Kestrel配置 #

替换Kestrel中的证书为存储加载的证书：

listenOptions.UseHttps(lovCertificateFromStore);

内容的提问来源于stack exchange，提问作者TiboVh