.NET Core 2.1中API间HTTP请求传递客户端证书失败问题

针对你在.NET Core 2.1下遇到的问题，以下是具体的排查和解决建议：

1. 确认证书是否包含私钥 #

从Request.HttpContext.Connection.ClientCertificate获取的证书通常只有公钥，而客户端证书认证需要私钥完成TLS握手。你可以在代码中添加判断：

var certificate = Request.HttpContext.Connection.ClientCertificate;
if (!certificate.HasPrivateKey)
{
    // 证书无完整私钥，需要重新加载带私钥的版本
}

解决方法：从服务器的证书存储中重新加载带私钥的证书（前提是该证书已安装在服务器的本地机器存储中）：

private static X509Certificate2 GetCertificateWithPrivateKey(X509Certificate2 originalCert)
{
    using (var store = new X509Store(StoreName.My, StoreLocation.LocalMachine))
    {
        store.Open(OpenFlags.ReadOnly);
        var matchingCerts = store.Certificates.Find(
            X509FindType.FindByThumbprint, 
            originalCert.Thumbprint, 
            validateCertificate: false);
        
        return matchingCerts.Count > 0 ? matchingCerts[0] : 
            throw new InvalidOperationException("未找到带私钥的目标证书");
    }
}

然后修改Put方法中的证书获取逻辑：

var originalCert = Request.HttpContext.Connection.ClientCertificate;
var certWithPrivateKey = GetCertificateWithPrivateKey(originalCert);
using (var httpClient = CreateHttpClient(certWithPrivateKey))
{
    // 后续调用逻辑
}

2. 强制HttpClient使用TLS 1.2 #

.NET Core 2.1默认的TLS协议版本可能不被APIM兼容（APIM通常要求TLS 1.2及以上），需要在CreateHttpClient方法中指定TLS版本：

private static HttpClient CreateHttpClient(X509Certificate2 certificate)
{
    var handler = new HttpClientHandler
    {
        ClientCertificateOptions = ClientCertificateOption.Manual,
        CheckCertificateRevocationList = false,
        SslProtocols = SslProtocols.Tls12, // 添加这一行
        ServerCertificateCustomValidationCallback = HttpClientHandler.DangerousAcceptAnyServerCertificateValidator
    };
    
    handler.ClientCertificates.Add(certificate);

    return new HttpClient(handler);
}

3. 检查APIM的客户端证书配置 #

确认APIM的目标API已开启客户端证书接收：

• 进入APIM的API设置页面，找到安全选项卡
• 确保“客户端证书”选项设置为“允许”或“要求”
• 同时检查APIM的TLS设置，确保允许的协议包含TLS 1.2

4. 验证证书私钥的访问权限 #

如果是Windows服务器，需要确保第一个API的运行身份（比如应用池用户）拥有证书私钥的读取权限：

1. 打开证书管理器，找到目标证书
2. 右键选择“所有任务” → “管理私钥”
3. 添加API运行用户，并授予“读取”权限

5. 调试证书传递情况 #

可以在第一个API中添加日志，输出证书的Thumbprint、HasPrivateKey等信息，确认证书的完整性；也可以使用工具抓包，查看第一个API调用第二个API时的TLS握手过程，确认证书是否被正确发送。

内容的提问来源于stack exchange，提问作者majewka