Blazor Web App SSL证书已找到但HTTPS页面无法访问问题

你的代码能找到SSL证书但HTTPS访问无效，核心问题是证书配置逻辑冲突，具体如下：

1. 优先级覆盖：Selector 忽略了手动设置的证书 #

Kestrel中，当同时配置ServerCertificateSelector（动态证书选择器）和ServerCertificate（静态证书）时，Selector的优先级更高——也就是说，你给httpsOptions.ServerCertificate = certificate;的赋值完全不会生效，所有证书选择逻辑都由Selector接管。

2. Selector 逻辑未使用你找到的证书 #

你的Selector只从自己创建的certs字典（仅包含localhost和*.example.com的证书）里查找，找不到就返回exampleCert，完全没用到通过指纹找到的目标证书。

修复方案 #

方案一：无需动态选证书（直接用目标证书） #

如果你的服务只需要绑定一个证书，直接去掉Selector逻辑，仅使用找到的证书即可：

var certThumbPrint = "xxxxxxxxxxxxxxxxxxxxxx";
var certificate = GetCertificateByThumbprint(certThumbPrint);

if (certificate != null)
{
    builder.WebHost.ConfigureKestrel((context, options) =>
    {
        options.ListenAnyIP(5001, listenOptions =>
        {
            // 直接传入找到的证书
            listenOptions.UseHttps(certificate);
        });
    });
}

X509Certificate2? GetCertificateByThumbprint(string thumbprint)
{
    using var certStore = new X509Store(StoreName.My, StoreLocation.LocalMachine);
    certStore.Open(OpenFlags.ReadOnly);
    var certificateCollection = certStore.Certificates.Find(
        X509FindType.FindByThumbprint, thumbprint, validOnly: false);

    return certificateCollection.Count > 0 ? certificateCollection[0] : null;
}

方案二：需要动态选证书（整合目标证书到Selector） #

如果你的服务需要根据访问域名切换证书，把找到的证书加入到Selector的字典中，并调整默认返回逻辑：

var certThumbPrint = "xxxxxxxxxxxxxxxxxxxxxx";
var certificate = GetCertificateByThumbprint(certThumbPrint);

if (certificate != null)
{
    builder.WebHost.ConfigureKestrel((context, options) =>
    {
        options.ListenAnyIP(5001, listenOptions =>
        {
            listenOptions.UseHttps(httpsOptions =>
            {
                var localhostCert = CertificateLoader.LoadFromStoreCert(
                    "localhost", "My", StoreLocation.LocalMachine,
                    allowInvalid: true);
                var exampleCert = CertificateLoader.LoadFromStoreCert(
                    "*.example.com", "My", StoreLocation.LocalMachine,
                    allowInvalid: true);

                var certs = new Dictionary<string, X509Certificate2>(
                    StringComparer.OrdinalIgnoreCase)
                {
                    ["localhost"] = localhostCert,
                    ["test.example.com"] = exampleCert,
                    ["你的目标域名"] = certificate, // 替换为证书对应的实际域名
                };

                // 移除ServerCertificate设置，由Selector全权处理
                httpsOptions.ServerCertificateSelector = (connectionContext, name) =>
                {
                    if (name is not null && certs.TryGetValue(name, out var cert))
                    {
                        return cert;
                    }

                    // 找不到匹配域名时，返回你的目标证书作为默认
                    return certificate;
                };
            });
        });
    });
}

X509Certificate2? GetCertificateByThumbprint(string thumbprint)
{
    using var certStore = new X509Store(StoreName.My, StoreLocation.LocalMachine);
    certStore.Open(OpenFlags.ReadOnly);
    var certificateCollection = certStore.Certificates.Find(
        X509FindType.FindByThumbprint, thumbprint, validOnly: false);

    return certificateCollection.Count > 0 ? certificateCollection[0] : null;
}

额外注意事项 #

• 确认证书的主体名称（CN）或SAN扩展与你访问的域名完全匹配，否则浏览器会提示证书不匹配。
• 检查运行Blazor服务的系统账户是否有读取LocalMachine证书存储的权限（可通过MMC证书管理工具，给证书添加对应账户的读取权限）。

内容的提问来源于stack exchange，提问作者Danijel Boksan