.NET 6创建X509Certificate2Signature时触发ArgumentNullException问题

可能触发异常的原因 #

• 证书加载后未正确获取到私钥：.NET6对证书私钥的处理逻辑和.NET Framework 4.7.2存在差异，iTextSharp 5.5的X509Certificate2Signature依赖证书的私钥才能初始化，若私钥不可用则抛出空引用异常。
• 库兼容性问题：iTextSharp 5.5是针对.NET Framework开发的老旧版本，在.NET6环境下，加密相关的API调用可能存在不兼容情况。
• 算法参数或证书本身问题：传入的"RSA"算法参数与证书实际支持的算法不匹配，或者证书数据本身损坏、密码错误导致加载不完整。

排查与修复步骤 #

1. 先验证证书私钥是否可用
   在创建签名对象前，添加私钥检查逻辑，确认证书加载正常：

// 用.NET6推荐的方法获取私钥（替代过时的PrivateKey属性）
var rsaPrivateKey = rootX509.GetRSAPrivateKey();
if (rsaPrivateKey == null)
{
    throw new InvalidOperationException("当前证书无法获取有效的RSA私钥，请检查证书文件或密码");
}

2. 调整证书加载的KeyStorageFlags参数
   尝试修改密钥存储标志，适配.NET6的密钥容器机制：

X509Certificate2 rootX509 = new X509Certificate2(
    certificado.Cert, 
    pass, 
    X509KeyStorageFlags.Exportable | 
    X509KeyStorageFlags.MachineKeySet); // 替换UserKeySet为MachineKeySet，去掉PersistKeySet

3. 自定义实现IExternalSignature接口绕开兼容性问题
   如果iTextSharp原生的X509Certificate2Signature无法兼容.NET6，手动实现签名逻辑：

public class CustomRsaSignature : IExternalSignature
{
    private readonly RSA _rsa;

    public CustomRsaSignature(RSA rsa)
    {
        _rsa = rsa ?? throw new ArgumentNullException(nameof(rsa));
    }

    public string GetHashAlgorithm()
    {
        return DigestAlgorithms.SHA256; // 根据业务需求选择对应的哈希算法
    }

    public string GetEncryptionAlgorithm()
    {
        return "RSA";
    }

    public byte[] Sign(byte[] message)
    {
        return _rsa.SignData(message, HashAlgorithmName.SHA256, RSASignaturePadding.Pkcs1);
    }
}

使用时直接实例化自定义类：

var rsa = rootX509.GetRSAPrivateKey();
IExternalSignature external = new CustomRsaSignature(rsa);

4. 确认证书数据完整性
   检查certificado.Cert是否为完整的证书字节数组，pass参数是否与证书设置的密码完全一致，避免因数据损坏或密码错误导致私钥加载失败。

额外建议 #

如果项目条件允许，建议升级到iText 7版本，它是官方针对.NET Core/.NET5+优化的版本，兼容性更好，且iTextSharp 5.5已经停止维护，后续可能会遇到更多类似的兼容性问题。

内容的提问来源于stack exchange，提问作者G. J. Gonzalez