带Identity Server的托管Blazor WebAssembly应用生产部署失败求助

问题背景 #

开发的托管式Blazor WebAssembly应用集成Identity Server，本地运行正常，但部署到无直接IIS访问权限的Plesk共享主机后出现证书加载失败问题。通过Visual Studio模板复现问题的步骤：

• 在VS 2022（17.4.4版本）中创建Blazor WebAssembly App项目
• 选择.NET 7.0框架，认证类型选「Individual Accounts」并勾选「ASP.NET Core Hosted」

发布前配置 #

发布前完成以下操作：

1. 用PowerShell创建自签名证书并导出为certificate.pfx文件
2. 修改appsettings.json的Identity Server配置：

"IdentityServer": {
  "key": {
    "Type": "File",
    "FilePath": "certificate.pfx",
    "Password": "password"
  },
  "Clients": {
    "BlazorWasmIdentityHosted.Client": {
      "Profile": "IdentityServerSPA"
    }
  }
}

3. 设置certificate.pfx的发布属性为「复制到输出目录」
4. 修改发布后的web.config启用开发环境异常页面：

<aspNetCore ...>
  <environmentVariables>
    <environmentVariable name="ASPNETCORE_ENVIRONMENT" value="Development" />
  </environmentVariables>
</aspNetCore>

报错信息 #

访问首页时触发以下异常：

CryptographicException: File not found.
System.Security.Cryptography.X509Certificates.CertificatePal.FilterPFXStore(ReadOnlySpan<byte> rawData, SafePasswordHandle password, PfxCertStoreFlags pfxCertStoreFlags)

InvalidOperationException: There was an error loading the certificate. Either the password is incorrect or the process does not have permisions to store the key in the Keyset 'DefaultKeySet'
Microsoft.AspNetCore.ApiAuthorization.IdentityServer.SigningKeysLoader.LoadFromFile(string path, string password, X509KeyStorageFlags keyStorageFlags)

问题分析 #

本地IIS部署正常，但共享主机环境下应用池用户无证书存储写入权限，导致加载PFX文件时无法将密钥写入DefaultKeySet。

替代签名密钥方案 #

针对无证书存储权限的共享主机，可尝试以下几种签名密钥管理方式：

1. 内存加载证书（适合受限环境） #

修改appsettings.json，将密钥类型改为InMemory，让证书直接加载到内存而非写入系统存储：

"IdentityServer": {
  "Key": {
    "Type": "InMemory",
    "FilePath": "certificate.pfx",
    "Password": "password"
  },
  "Clients": {
    "BlazorWasmIdentityHosted.Client": {
      "Profile": "IdentityServerSPA"
    }
  }
}

注意：此方式在应用重启后会重新加载证书，适合非高安全要求的场景。

2. 使用服务器证书存储（需Plesk支持） #

如果Plesk允许将证书导入到服务器的本地机器存储，可配置Identity Server从存储读取证书：

"IdentityServer": {
  "Key": {
    "Type": "Store",
    "StoreName": "My",
    "StoreLocation": "LocalMachine",
    "Name": "CN=YourCertificateCommonName"
  },
  "Clients": {
    "BlazorWasmIdentityHosted.Client": {
      "Profile": "IdentityServerSPA"
    }
  }
}

需确保应用池用户对该证书有读取权限（可联系主机商协助配置）。

3. 复用Kestrel证书 #

若主机允许配置Kestrel，可在Program.cs中让Kestrel加载证书，并让Identity Server复用该证书：

builder.WebHost.ConfigureKestrel(options =>
{
    options.ListenAnyIP(443, listenOptions =>
    {
        listenOptions.UseHttps("certificate.pfx", "password");
    });
});

builder.Services.AddIdentityServer()
    .AddSigningCredential(
        builder.Services.BuildServiceProvider()
            .GetRequiredService<IOptions<KestrelServerOptions>>()
            .Value.ListenOptions.First(o => o.Protocols == HttpProtocols.Http1AndHttp2)
            .HttpsOptions.ServerCertificate
    );

此方式避免了单独加载证书的权限问题。

最终处理 #

因不确定共享主机权限问题能否修复，已迁移至Azure环境，应用目前运行正常。

内容的提问来源于stack exchange，提问作者GerardF