Unity环境中用X509Certificate2验证.p7b证书失败求助

问题根源 #

.p7b是PKCS#7格式文件，存储的是证书链集合，而非单个X.509证书。直接用X509Certificate2构造函数加载时，它默认只处理单个证书的二进制数据，无法解析PKCS#7格式的证书链集合，因此抛出CryptographicException。

解决方案步骤 #

1. 解析PKCS#7格式的.p7b文件，提取证书链 #

使用System.Security.Cryptography.Pkcs.SignedCms类解析.p7b文件，提取其中的所有证书：

using System.Security.Cryptography.Pkcs;
using System.Security.Cryptography.X509Certificates;
using System.IO;

public X509Certificate2Collection LoadP7bCertificates(string p7bFilePath)
{
    byte[] p7bData = File.ReadAllBytes(p7bFilePath);
    SignedCms signedCms = new SignedCms();
    signedCms.Decode(p7bData);
    
    // 提取.p7b中的所有证书
    return signedCms.Certificates;
}

2. 自定义Unity CertificateHandler实现证书验证 #

Unity的CertificateHandler用于自定义SSL证书验证逻辑，可将提取到的证书链作为信任根，验证服务器证书是否在信任链中：

using UnityEngine.Networking;
using System.Security.Cryptography.X509Certificates;

public class CustomCertificateHandler : CertificateHandler
{
    private X509Certificate2Collection _trustedCerts;

    public CustomCertificateHandler(X509Certificate2Collection trustedCerts)
    {
        _trustedCerts = trustedCerts;
    }

    protected override bool ValidateCertificate(byte[] certificateData)
    {
        X509Certificate2 serverCert = new X509Certificate2(certificateData);
        
        // 构建证书链并验证
        X509Chain chain = new X509Chain();
        // 添加自定义信任根
        chain.ChainPolicy.ExtraStore.AddRange(_trustedCerts);
        // 禁用系统默认根证书，仅使用我们提供的证书链
        chain.ChainPolicy.VerificationFlags = X509VerificationFlags.AllowUnknownCertificateAuthority;
        chain.ChainPolicy.RevocationMode = X509RevocationMode.NoCheck; // 根据业务需求调整吊销检查逻辑
        
        bool isValid = chain.Build(serverCert);
        
        // 可选：输出验证细节用于排查问题
        if (!isValid)
        {
            foreach (X509ChainStatus status in chain.ChainStatus)
            {
                Debug.LogError($"证书验证失败：{status.StatusInformation}");
            }
        }
        
        return isValid;
    }
}

3. 在Unity请求中使用自定义证书处理器 #

发起UnityWebRequest时，指定自定义的CertificateHandler：

public IEnumerator RequestWithCustomCert(string url, string p7bPath)
{
    X509Certificate2Collection trustedCerts = LoadP7bCertificates(p7bPath);
    CustomCertificateHandler certHandler = new CustomCertificateHandler(trustedCerts);
    
    UnityWebRequest request = UnityWebRequest.Get(url);
    request.certificateHandler = certHandler;
    
    yield return request.SendWebRequest();
    
    if (request.result != UnityWebRequest.Result.Success)
    {
        Debug.LogError(request.error);
    }
    else
    {
        Debug.Log("请求成功");
        // 处理返回数据
    }
    
    // 释放资源
    certHandler.Dispose();
    request.Dispose();
}

注意事项 #

• 需在Unity的Player Settings中启用Allow unsafe code，部分加密API依赖此设置。
• 不同平台的加密API支持存在差异，iOS/Android平台需额外测试证书链验证逻辑的兼容性。
• 如果.p7b文件带有密码保护，解析时需传入对应密码（示例默认文件无密码）。

内容的提问来源于stack exchange，提问作者eliboy8