如何在.NET Core 3.1 Web API中导入安全证书以满足Apple要求？

别担心，我帮你梳理清楚完整的配置步骤，不管是测试环境还是生产环境，都能搞定Apple要求的安全连接～

一、先搞懂两种常用证书类型 #

• 测试环境：可以用自签名证书（自己生成的），但iOS默认不认，得额外给设备加信任
• 生产环境：必须用Apple信任的权威CA机构签发的证书（比如Let's Encrypt、DigiCert这些），不然iOS应用会直接拒绝连接

二、分步配置指南 #

1. 测试环境：用自签名证书快速验证 #

第一步：生成并信任自签名证书

打开终端/命令提示符，运行.NET CLI命令：

# 生成PFX格式证书，替换YourApiName和密码为你自己的
dotnet dev-certs https -ep $env:USERPROFILE\.aspnet\https\YourApiName.pfx -p YourSuperStrongPassword
# 让系统信任这个证书（Windows/macOS会弹提示，点确认就行）
dotnet dev-certs https --trust

第二步：在Web API里配置证书

打开appsettings.json，添加Kestrel的HTTPS配置：

{
  "Kestrel": {
    "Endpoints": {
      "Https": {
        "Url": "https://localhost:5001",
        "Certificate": {
          "Path": "C:\\Users\\YourUsername\\.aspnet\\https\\YourApiName.pfx",
          "Password": "YourSuperStrongPassword"
        }
      }
    }
  }
}

要是习惯用代码配置，打开Startup.cs，在ConfigureServices里加这段：

public void ConfigureServices(IServiceCollection services)
{
    services.AddControllers();
    // 配置Kestrel监听HTTPS端口
    services.Configure<KestrelServerOptions>(options =>
    {
        options.ListenAnyIP(5001, listenOptions =>
        {
            listenOptions.UseHttps("YourApiName.pfx", "YourSuperStrongPassword");
        });
    });
}

⚠️ 提示：如果证书放在项目文件夹里，记得右键证书文件→属性，把“复制到输出目录”改成“如果较新则复制”，不然程序找不到证书。

第三步：让iOS设备信任自签证书

iOS默认不信任自签名证书，得手动配置：

• 把PFX证书导出成.crt格式（Windows用证书管理器，macOS用钥匙串访问就能导出）
• 把.crt文件发给iOS设备（邮件、AirDrop都行），点击文件就能触发安装
• 安装完去「设置」→「通用」→「关于本机」→「证书信任设置」，找到你的证书，打开信任开关

2. 生产环境：用权威CA证书正式上线 #

第一步：获取合法证书

从CA机构申请PFX格式的证书（一定要包含私钥），证书的域名要和你的API域名完全一致（比如api.yourdomain.com），不然iOS会判定不安全。

第二步：配置Web API

同样修改appsettings.json，换成生产证书的路径和密码：

{
  "Kestrel": {
    "Endpoints": {
      "Https": {
        "Url": "https://api.yourdomain.com:443",
        "Certificate": {
          "Path": "/var/www/your-api/production-cert.pfx",
          "Password": "YourProductionCertPassword"
        }
      }
    }
  }
}

或者用代码配置（Startup.cs）：

public void ConfigureServices(IServiceCollection services)
{
    services.AddControllers();
    services.Configure<KestrelServerOptions>(options =>
    {
        options.ListenAnyIP(443, listenOptions =>
        {
            // 建议把密码存环境变量，不要硬编码！
            var certPassword = Environment.GetEnvironmentVariable("API_CERT_PASSWORD");
            listenOptions.UseHttps("production-cert.pfx", certPassword);
        });
    });
}

⚠️ 重要提示：生产环境绝对不要把证书密码写在配置文件里，用环境变量或者密钥管理工具来存更安全。

三、验证配置是否成功 #

启动API后，用浏览器访问HTTPS地址（测试用https://localhost:5001，生产用你的域名），看地址栏的锁图标，显示“安全”就说明配置对了。

iOS应用调用的时候，一定要用HTTPS开头的地址，别混着HTTP用，不然会被Apple拦截。

内容的提问来源于stack exchange，提问作者E.Castriotta