OPC Foundation SDK证书链验证不完整问题求助

针对调用Session.Create()时出现的Certificate chain validation incomplete错误，结合OPC Foundation SDK特性与西门子PLC证书机制，可按以下步骤排查解决：

1. 确认证书存储的物理路径 #

配置文件中使用的%appdata%和%CommonApplicationData%是Windows环境变量，需确保证书放置到对应物理目录：

• %appdata%\opc foundation\pki\trusted 对应 C:\Users\<你的用户名>\AppData\Roaming\OPC Foundation\pki\trusted
• %appdata%\opc foundation\pki\issuer 对应 C:\Users\<你的用户名>\AppData\Roaming\OPC Foundation\pki\issuer
• %CommonApplicationData%\OPC Foundation\pki\own 对应 C:\ProgramData\OPC Foundation\pki\own

将西门子PLC的设备证书（DER格式，文件名需为证书SHA1哈希值小写+.der后缀）放入trusted目录，颁发者证书放入issuer目录，避免依赖环境变量解析导致的路径匹配问题。

2. 调整代码的配置与证书验证逻辑 #

代码中设置AutoAcceptUntrustedCertificates = true的时机正确，但可添加证书验证回调强制信任所有证书（仅用于调试，生产环境禁用），同时确保配置生效：

static void Main(string[] args)
{
    ApplicationInstance application = new ApplicationInstance();
    application.ApplicationType = ApplicationType.Client;

    // 加载配置文件
    application.LoadApplicationConfiguration(@"./ConsoleReferenceClient.Config.xml", false).Wait();

    ApplicationConfiguration m_configuration = application.ApplicationConfiguration;
    m_configuration.SecurityConfiguration.AutoAcceptUntrustedCertificates = true;

    // 添加证书验证回调，强制接受所有证书（调试用）
    m_configuration.CertificateValidator.CertificateValidation += (sender, e) =>
    {
        e.Accept = true;
    };

    // 验证配置有效性
    m_configuration.Validate(null).Wait();

    // 获取端点：允许安全端点，适配PLC可能的强制安全配置
    EndpointDescription endpointDescription = CoreClientUtils.SelectEndpoint("opc.tcp://192.168.7.118", true);
    EndpointConfiguration endpointConfiguration = EndpointConfiguration.Create(m_configuration);
    ConfiguredEndpoint endpoint = new ConfiguredEndpoint(null, endpointDescription, endpointConfiguration);

    // 创建会话并使用using自动释放资源
    using (Session session = Session.Create(m_configuration, endpoint, false, false, m_configuration.ApplicationName, 
        (uint)m_configuration.ClientConfiguration.DefaultSessionTimeout, new UserIdentity(), null).Result)
    {
        Console.WriteLine("会话连接成功");
        // 后续业务操作
    }
}

3. 检查西门子证书的导出格式 #

从TIA Portal导出证书时，必须选择**DER编码的二进制X.509(.CER)**格式，而非Base64编码。若PLC证书由TIA Portal项目自签名，需将项目的根证书同时放入issuer目录，确保根证书能验证PLC证书的签名。

4. 同步配置文件的自动信任设置 #

虽然代码已覆盖配置文件的AutoAcceptUntrustedCertificates值，但调试期间可直接修改配置文件将该值设为true，避免代码与配置冲突：

<AutoAcceptUntrustedCertificates>true</AutoAcceptUntrustedCertificates>

内容的提问来源于stack exchange，提问作者IFrank