如何在.NET桌面应用中读取并验证C盘目录下的X509证书？

完全可以实现，以下是具体步骤和代码示例：

1. 读取指定路径的证书 #

使用.NET的X509Certificate2类读取证书，需根据证书格式（CER公钥证书/ PFX带私钥证书）选择对应方式：

// 读取CER格式公钥证书
var certPath = @"C:\certificate\your-certificate.cer";
X509Certificate2 cert = new X509Certificate2(certPath);

// 若为带私钥的PFX/P12文件（需密码，未设置则传空字符串）
// var cert = new X509Certificate2(@"C:\certificate\your-cert.pfx", "your-password", X509KeyStorageFlags.Exportable);

2. 证书验证核心逻辑 #

验证需覆盖有效期检查、证书链验证、签名有效性验证三个核心维度：

2.1 检查证书有效期 #

bool isWithinValidPeriod = cert.NotBefore <= DateTime.Now && DateTime.Now <= cert.NotAfter;

2.2 证书链完整性验证 #

验证证书是否由受信任的签发机构签发，支持吊销检查（需联网或本地CRL文件）：

X509Chain chain = new X509Chain();
// 配置吊销检查模式：Online（联网查OCSP/CRL）或 Offline（仅本地缓存）
chain.ChainPolicy.RevocationMode = X509RevocationMode.Online;

// 若为自签名证书，需跳过未知CA的验证（否则链验证会失败）
chain.ChainPolicy.VerificationFlags = X509VerificationFlags.AllowUnknownCertificateAuthority;

bool isChainValid = chain.Build(cert);
// 可通过chain.ChainStatus查看具体错误信息
foreach (var status in chain.ChainStatus)
{
    Console.WriteLine($"Chain Status: {status.StatusInformation}");
}

2.3 手动验证证书签名 #

若需直接验证证书的签名有效性（比如用签发者公钥校验）：

// 自签名证书的签发者就是自身，非自签名需加载签发者证书
X509Certificate2 issuerCert = cert;
RSACryptoServiceProvider issuerPublicKey = issuerCert.PublicKey.Key as RSACryptoServiceProvider;

// 提取证书原始数据（不含签名部分）和签名值
byte[] rawCertData = cert.RawData;
byte[] signature = cert.SignatureValue;
byte[] dataToVerify = rawCertData.Take(rawCertData.Length - signature.Length).ToArray();

// 根据证书签名算法验证
bool isSignatureValid = issuerPublicKey.VerifyData(
    dataToVerify,
    CryptoConfig.MapNameToOID(cert.SignatureAlgorithm.FriendlyName),
    signature
);

3. 常见问题解决 #

• 路径错误：确保路径格式正确，Windows路径用\，代码中可加@避免转义问题
• 权限不足：给C:\certificate目录添加当前应用运行用户的读取权限
• 自签名证书信任问题：除了代码中跳过CA验证，也可将证书导入系统「受信任的根证书颁发机构」

内容的提问来源于stack exchange，提问作者user19540656