macOS Monterey系统下自签名IdentityServer4证书无法正常使用该如何解决？

看起来你遇到的是Monterey系统对SSL/TLS配置收紧导致的问题——这个版本确实加强了对证书合规性的检查，很多之前能正常用的自签名证书都踩坑了。我整理几个针对性的解决步骤，你可以逐一试试：

一、先确认证书的合规性细节 #

Monterey不再兼容一些旧的证书配置，你可以先通过命令查看现有证书的关键信息：

openssl x509 -in your-cert-file.crt -text -noout

重点检查这几个字段：

• 签名算法必须是SHA-256及以上（比如显示Signature Algorithm: sha256WithRSAEncryption）
• 必须包含Subject Alternative Name (SAN)扩展，且要覆盖你访问的所有域名（比如DNS:localhost, DNS:your-local-is4-domain）
• Key Usage要包含Digital Signature和Key Encipherment，Extended Key Usage要明确有TLS Web Server Authentication

如果这些字段不符合，哪怕密钥长度、有效期达标也没用。

二、手动生成符合Monterey要求的自签名证书 #

dotnet dev-certs的默认配置可能不全，建议用OpenSSL手动生成合规证书：

1. 创建一个证书配置文件（比如命名为is4-cert-config.cnf），内容如下：

[req]
default_bits = 4096
prompt = no
default_md = sha256
distinguished_name = dn
x509_extensions = v3_ext

[dn]
C = CN
ST = YourState
L = YourCity
O = YourOrgName
OU = YourTeam
CN = localhost

[v3_ext]
subjectAltName = @alt_names
keyUsage = digitalSignature, keyEncipherment
extendedKeyUsage = serverAuth
basicConstraints = CA:FALSE

[alt_names]
DNS.1 = localhost
DNS.2 = your-identityserver-local-domain

2. 执行命令生成证书和密钥文件：

openssl req -x509 -newkey rsa:4096 -nodes -keyout is4-server.key -out is4-server.crt -days 720 -config is4-cert-config.cnf

3. 将证书导入macOS钥匙串：双击.crt文件，选择添加到登录钥匙串；然后右键该证书→显示简介，在信任选项卡把使用此证书时设置为始终信任。

三、把证书转换成PFX格式并配置IdentityServer4 #

IdentityServer通常需要PFX格式的证书，用以下命令转换：

openssl pkcs12 -export -out is4-server.pfx -inkey is4-server.key -in is4-server.crt

然后在你的项目配置里指定加载这个PFX证书（以.NET 6+的Program.cs为例）：

builder.Services.AddIdentityServer()
    .AddSigningCredential(new X509Certificate2("path/to/is4-server.pfx", "your-pfx-password"));

四、清除浏览器的旧证书缓存 #

浏览器可能缓存了之前无效的证书信息，需要手动清理：

• Safari：打开「偏好设置」→「隐私」→「管理网站数据」，搜索localhost或你的域名，删除相关数据后重启Safari。
• Chrome：打开「设置」→「隐私和安全」→「安全」→「管理证书」，找到旧的自签名证书删除；再通过「清除浏览数据」勾选「缓存的图片和文件」「Cookie及其他网站数据」，清除后重启Chrome。
• Firefox：打开「选项」→「隐私与安全」→「证书」→「查看证书」，删除旧证书；然后按Ctrl+Shift+Delete清除缓存后重启浏览器。

五、验证系统层面的证书信任 #

打开终端运行以下命令（替换成你的IdentityServer端口）：

openssl s_client -connect localhost:5001

如果输出末尾显示Verify return code: 0 (ok)，说明系统已经信任这个证书，浏览器应该就能正常访问了。

如果还是不行，可以临时关闭证书透明度检查来测试（不推荐长期使用）：在钥匙串里找到你的证书，右键「显示简介」→「信任」，勾选「关闭证书透明度」，然后重启浏览器试试。

内容的提问来源于stack exchange，提问作者hdoitc