OPC UA客户端启用安全连接时出现证书链验证不完整错误

问题背景 #

使用OPC Foundation NuGet包开发C# OPC UA客户端，匿名连接服务器正常，可完成变量读写、订阅等操作。启用基于用户名/密码的安全连接时，触发certificate chain validation incomplete错误，已设置configuration.SecurityConfiguration.AddAppCertToTrustedStore = true但无效。客户端自签名证书为自定义代码生成。

核心原因分析 #

1. 客户端证书未包含私钥：当前加载的证书仅为公钥证书，缺少私钥，OPC UA安全会话需要客户端证书包含完整的密钥对。
2. 证书格式不匹配：生成时将PEM格式证书保存为.der后缀，加载时无法正确解析；且未采用OPC UA推荐的PFX/PKCS12格式存储证书+私钥。
3. 证书缺少必要扩展：自签名证书未添加OPC UA要求的**Subject Alternative Name(SAN)**扩展，导致ApplicationUri与证书身份不匹配。
4. 信任链配置错误：错误将服务器证书添加到TrustedIssuerCertificates，同时未确保服务器信任客户端证书。

解决方案 #

1. 修正客户端证书生成与加载逻辑 #

将证书和私钥合并为PFX格式，确保加载时包含完整密钥对：

修改证书生成代码

public static void CreateApplicationCertificate(string pfxFilename, string password)
{
    using var rsa = RSA.Create(CertificateFactory.DefaultKeySize);
    var certRequest = new CertificateRequest(
        "cn=OPC Foundation SDK Client", 
        rsa, 
        HashAlgorithmName.SHA256, 
        RSASignaturePadding.Pkcs1);

    // 添加OPC UA必需的SAN扩展（匹配ApplicationUri）
    certRequest.CertificateExtensions.Add(
        new X509SubjectAlternativeNameExtension(
            new List<X509AlternativeName> {
                new X509UriAlternativeName(new Uri("urn:OPC Foundation SDK Personal Implementation"))
            },
            false));

    // 设置证书有效期（测试用1天，生产建议1-3年）
    var certificate = certRequest.CreateSelfSigned(
        DateTimeOffset.Now.AddMinutes(-10), 
        DateTimeOffset.Now.AddDays(1));

    // 导出为PFX格式（包含证书+私钥）
    var pfxData = certificate.Export(X509ContentType.Pfx, password);
    File.WriteAllBytes(pfxFilename, pfxData);
}

修改证书加载代码

// 替换原证书加载逻辑
var appCertificate = new X509Certificate2(
    "TestCertificate.pfx", 
    "your-password", // 与生成时的密码一致
    X509KeyStorageFlags.Exportable | X509KeyStorageFlags.PersistKeySet);

configuration.SecurityConfiguration.ApplicationCertificate = new CertificateIdentifier(appCertificate);
configuration.SecurityConfiguration.AddAppCertToTrustedStore = true;

2. 修正信任链配置 #

仅将服务器证书添加到TrustedPeerCertificates（自签名服务器的Issuer就是自身，无需添加到TrustedIssuer）：

// 移除原TrustedIssuerCertificates添加代码
// configuration.SecurityConfiguration.TrustedIssuerCertificates.TrustedCertificates.Add(serverCertificate);

// 仅保留TrustedPeer配置
configuration.SecurityConfiguration.TrustedPeerCertificates.TrustedCertificates.Add(serverCertificate);

生产环境需确保服务器已将客户端证书添加到其TrustedPeerCertificates，否则仍会触发验证错误；测试环境可临时开启自动接受证书（不建议生产使用）：

configuration.SecurityConfiguration.AutoAcceptUntrustedCertificates = true;

3. 调整证书校验流程顺序 #

确保在配置好ApplicationCertificate后再执行证书校验：

// 先配置证书
configuration.SecurityConfiguration.ApplicationCertificate = new CertificateIdentifier(appCertificate);
// 再执行校验
var result = application.CheckApplicationInstanceCertificate(true, CertificateFactory.DefaultKeySize);
// 最后验证配置
configuration.Validate(ApplicationType.Client);

4. 检查Endpoint选择逻辑 #

确保CoreClientUtils.SelectEndpoint选择的是支持用户名密码认证的安全端点：

// 指定安全策略，比如Basic256Sha256或UsernamePassword
EndpointDescription endpointDescription = CoreClientUtils.SelectEndpoint(
    $"opc.tcp://{Target}", 
    security,
    MessageSecurityMode.SignAndEncrypt); // 明确指定安全模式

内容的提问来源于stack exchange，提问作者IFrank