求助：Hosted Blazor WASM部署IIS后SSL证书不被浏览器认可

一、先查证书本身的有效性 #

• 自签名证书：
  • 必须确认证书的**主体名称(CN)或主题备用名称(SAN)**和你访问的域名/IP完全一致，现在主流浏览器都要求SAN必须包含访问地址，只填CN可能不被认可。
  • 检查证书有效期，别是过期或者还没到生效时间的。
  • 生成自签名证书时要指定服务器身份验证的增强密钥用法（EKU），不然证书没法用于SSL加密。
• 企业证书：
  • 先确认证书链完整，根证书和中间证书得安装到服务器和客户端浏览器的对应信任存储里——根证书要放「受信任的根证书颁发机构」，中间证书放「中级证书颁发机构」，缺一个都会导致验证失败。
  • 同样要检查SAN是否匹配访问域名，EKU是否包含服务器身份验证。

二、核对IIS绑定配置 #

• 打开IIS管理器，找到你的网站→绑定→编辑HTTPS绑定，确认选的是你部署的那套证书，别不小心选了IIS自带的默认证书。
• 绑定的主机名必须和证书的CN/SAN完全一致，比如证书是app.yourcompany.com，绑定主机名就不能填yourcompany.com，也不能留空（除非用IP访问且证书SAN里包含这个IP）。
• 绑定的IP地址选「全部未分配」或者服务器的实际公网/内网IP，别限制到错误的IP，导致请求匹配不到正确证书。

三、浏览器端信任配置 #

• 自签名证书：必须手动导入到浏览器的「受信任根证书颁发机构」，不是个人存储。导入后要完全关闭浏览器再重启，不然可能不生效。
• 企业证书：如果客户端浏览器没装企业根CA，肯定会提示不安全。要么通过公司组策略推送根CA到所有客户端，要么让用户手动安装根证书。
• 清浏览器缓存和SSL状态：打开浏览器设置→隐私安全→清除浏览数据，勾选「缓存的图像和文件」以及「SSL状态」（不同浏览器位置可能不一样），清完重启浏览器再测。

四、Blazor Hosted应用的特殊检查 #

• 打开服务器项目的appsettings.json，确认ASPNETCORE_URLS包含https://*:443，避免应用只监听HTTP端口。
• 检查Program.cs里有没有配置HTTPS重定向：

  app.UseHttpsRedirection();
  

  确保重定向的目标地址和证书匹配，别跳转到没配置证书的地址。
• InProcess模式下，如果之前用HTTP访问过该域名，浏览器的HSTS缓存可能强制拒绝未信任证书。可以在浏览器的HSTS设置里删除对应域名的记录（比如Chrome在chrome://net-internals/#hsts操作）。

五、其他实用排查手段 #

• 在服务器上用命令certutil -verify -urlfetch <你的证书文件路径>验证证书链，看有没有中间证书缺失之类的错误。
• 打开浏览器开发者工具→「安全」标签，查看具体的错误提示（比如「证书链不完整」「名称不匹配」「证书不受信任」），对着错误找问题更高效。
• 确认服务器防火墙/安全组允许443端口入站流量，虽然你说端口已启用，但防火墙拦截也可能导致证书验证异常。

内容的提问来源于stack exchange，提问作者sada