.NET Core 3.1下HttpClient如何用三个PEM文件实现客户端认证

先明确curl命令的对应需求 #

你的curl命令核心做了三件事：

1. 用cert.pem和key.pem作为客户端证书（向服务器证明请求身份）
2. 用cacert.pem作为自定义信任根（验证服务器证书是否由该CA签发）
3. -k参数是跳过系统默认证书验证（若指定了cacert，该参数可按需保留）

步骤1：合并客户端证书与私钥为PFX格式 #

.NET Core 3.1无法直接加载分开的PEM证书和私钥文件，需先将cert.pem和key.pem合并为PFX（PKCS#12）格式的容器文件。用OpenSSL执行以下命令：

openssl pkcs12 -export -in cert.pem -inkey key.pem -out client.pfx -password pass:自定义密码

• 替换自定义密码为你设定的密码（后续代码需匹配）
• 执行后生成的client.pfx包含了客户端证书及对应私钥

步骤2：配置HttpClient #

2.1 加载客户端证书 #

// 加载合并后的PFX客户端证书
var clientCert = new X509Certificate2("client.pfx", "自定义密码");

2.2 加载信任根CA证书（cacert.pem） #

.NET Core 3.1无直接读取PEM格式证书的原生API，需手动解析：

X509Certificate2 caCert;
using (var reader = new StreamReader("cacert.pem"))
{
    var pemContent = reader.ReadToEnd();
    // 去除PEM格式头尾标记，转换为字节数组
    var certBytes = Convert.FromBase64String(
        pemContent.Replace("-----BEGIN CERTIFICATE-----", "")
                  .Replace("-----END CERTIFICATE-----", "")
                  .Replace("\r", "")
                  .Replace("\n", "")
    );
    caCert = new X509Certificate2(certBytes);
}

2.3 配置请求处理器并创建HttpClient #

var handler = new HttpClientHandler();

// 将客户端证书添加到请求处理器
handler.ClientCertificates.Add(clientCert);

// 配置服务器证书验证逻辑（对应curl的-cacert参数）
handler.ServerCertificateCustomValidationCallback = (sender, serverCert, chain, sslErrors) =>
{
    // 若要完全模拟curl的-k（跳过所有服务器证书验证），直接返回true（仅测试用，生产环境禁用）
    // return true;

    // 正常验证：检查服务器证书是否被自定义CA信任
    var chainPolicy = new X509ChainPolicy
    {
        // 仅信任自定义CA，不使用系统默认信任根
        TrustMode = X509ChainTrustMode.CustomRootTrust,
        // 添加自定义CA到信任列表
        CustomTrustStore = { caCert },
        // 关闭吊销检查（无OCSP服务器时避免验证失败）
        RevocationMode = X509RevocationMode.NoCheck
    };

    var certChain = new X509Chain();
    certChain.ChainPolicy = chainPolicy;

    // 验证服务器证书链有效性
    return certChain.Build(serverCert);
};

// 创建配置完成的HttpClient
var httpClient = new HttpClient(handler);

// 发送请求示例
var response = await httpClient.GetAsync("http://example.com");
response.EnsureSuccessStatusCode();
var responseContent = await response.Content.ReadAsStringAsync();

注意事项 #

• 若无需验证服务器证书，直接将ServerCertificateCustomValidationCallback返回true即可，但此操作会跳过所有证书校验，仅适合测试场景。
• 确保代码中client.pfx、cacert.pem的路径正确（可使用绝对路径或相对路径）。

内容的提问来源于stack exchange，提问作者Johnny Cache