PowerShell使用证书发起Web请求时证书未发送问题解决

以下是针对该问题的排查和解决步骤：

1. 确认证书加载的准确性 #

PowerShell中加载证书时，常因存储位置错误或指纹匹配失败导致证书未正确获取：

• 先通过证书管理器确认证书所在的存储路径（通常是CurrentUser\个人或LocalMachine\个人）
• 使用精准的筛选条件加载证书，避免匹配到无效证书：

  # 按指纹加载（注意指纹无空格、大小写不敏感）
  $certThumbprint = "你的证书指纹"
  $cert = Get-ChildItem -Path Cert:\CurrentUser\My | Where-Object { $_.Thumbprint -eq $certThumbprint }
  
  # 若按主题加载，确保主题字符串完全匹配
  # $cert = Get-ChildItem -Path Cert:\CurrentUser\My | Where-Object { $_.Subject -match "CN=你的证书主题" }
  

• 加载后通过$cert命令验证是否获取到有效的X509Certificate2对象，若结果为空则说明证书加载失败。

2. 检查证书的权限配置 #

如果证书存储在LocalMachine目录下，普通权限的PowerShell进程可能无法读取证书私钥：

• 打开证书管理器（certmgr.msc或mmc添加证书管理单元）
• 找到目标证书，右键→「所有任务」→「管理私钥」
• 添加当前运行PowerShell的用户账户，授予「读取」权限，点击确定后重新加载证书测试。

3. 修正Invoke-WebRequest的调用参数 #

确保调用时正确传入证书对象，同时避免因解析逻辑导致的问题：

$uri = "你的目标API地址"
Invoke-WebRequest -Uri $uri -Certificate $cert -UseBasicParsing -Method Get

• -UseBasicParsing参数可避免IE解析引擎的干扰，在无IE环境下也能正常运行；
• 若服务器使用自签证书，可临时添加-SkipCertificateCheck参数跳过服务端证书验证（仅测试环境使用，生产环境需导入信任证书）。

4. 优化HttpClientHandler的证书配置 #

使用HttpClient时，需确保证书被正确添加到ClientCertificates集合，同时检查服务端证书验证逻辑：

$handler = New-Object System.Net.Http.HttpClientHandler
# 确认证书已正确加载后添加
$handler.ClientCertificates.Add($cert)

# 若服务端证书不被信任，可临时关闭验证（仅测试）
# $handler.ServerCertificateCustomValidationCallback = { $true }

$client = [System.Net.Http.HttpClient]::new($handler)
$response = $client.GetAsync($uri).Result
# 输出响应内容
$response.Content.ReadAsStringAsync().Result

• 检查证书的「增强型密钥用法」是否包含「客户端身份验证」（OID: 1.3.6.1.5.5.7.3.2），部分服务器仅接受具备该EKU的证书。

5. 测试PowerShell 7版本 #

PowerShell 5.1基于.NET Framework，而PowerShell 7基于.NET Core/.NET 5+，后者在证书处理逻辑上更贴近现代C#程序：

• 安装PowerShell 7后，重复上述测试步骤，大概率能解决因框架差异导致的证书发送问题。

内容的提问来源于stack exchange，提问作者Daan