RestSharp v107/108部署至Azure后客户端证书认证失效求助

1. 修改证书导入的KeyStorageFlags #

Azure App Service运行环境对证书存储权限有限制，DefaultKeySet在非交互式环境中可能无法正常访问私钥。替换为以下组合：

var x509 = new X509Certificate2();
x509.Import(
    certificateBytes, 
    certificatePassword, 
    X509KeyStorageFlags.MachineKeySet | X509KeyStorageFlags.PersistKeySet | X509KeyStorageFlags.Exportable
);

MachineKeySet将证书存储到机器级目录（而非用户级），PersistKeySet保留密钥文件，Exportable确保密钥可被程序访问，这三个参数组合通常能解决Azure环境下的私钥权限问题。

2. 显式指定SSL/TLS协议版本 #

RestSharp 107+默认使用系统默认协议，部分第三方API可能仅支持特定版本（如TLS 1.2）。手动指定协议：

var options = new RestClientOptions(new Uri(serverBaseUrl))
{
    MaxTimeout = (int)TimeSpan.FromMinutes(5).TotalMilliseconds,
    ConfigureMessageHandler = handler =>
    {
        if (handler is HttpClientHandler httpClientHandler)
        {
            httpClientHandler.SslProtocols = SslProtocols.Tls12;
        }
        return handler;
    }
};

3. 确保证书链完整 #

你的PowerShell测试中CA证书导入逻辑存在重复覆盖问题，需正确构建完整证书链：

// 导入CA根证书（若第三方API需要信任自定义CA）
var caCert = new X509Certificate2(caCertificateBytes);
// 导入客户端证书
var clientCert = new X509Certificate2(
    certificateBytes, 
    certificatePassword, 
    X509KeyStorageFlags.MachineKeySet | X509KeyStorageFlags.PersistKeySet | X509KeyStorageFlags.Exportable
);
// 创建包含完整信任链的证书集合
var certificateCollection = new X509Certificate2Collection { caCert, clientCert };

同时检查Azure App Service的TLS/SSL设置，确保启用"HTTPS Only"，且SSL证书绑定配置正确。

4. 检查App Service权限配置 #

• 若使用Azure Key Vault存储证书，需给App Service的托管身份分配Key Vault Secrets User或Certificate User角色，确保程序能读取证书私钥。
• 若证书以Base64存储在App Settings中，验证配置值未被截断，密码中的特殊字符已正确转义。

5. 捕获详细SSL错误日志 #

添加日志代码定位具体问题，部署后在App Service日志流中查看：

ServicePointManager.ServerCertificateValidationCallback += (sender, cert, chain, sslPolicyErrors) =>
{
    Console.WriteLine($"SSL错误类型: {sslPolicyErrors}");
    if (chain?.ChainStatus != null)
    {
        foreach (var status in chain.ChainStatus)
        {
            Console.WriteLine($"证书链状态: {status.Status} - {status.StatusInformation}");
        }
    }
    return sslPolicyErrors == SslPolicyErrors.None; // 仅调试用，生产环境请勿直接返回true
};

内容的提问来源于stack exchange，提问作者LazyProgrammer