.NET下X509Certificate2证书链多条件验证实现求助

需求说明 #

需实现一个isValid方法，对List<X509Certificate2>类型的证书列表执行验证，满足以下要求：

• 所有证书均未过期
• 若可检测，验证根证书是否受信任
• 除根证书外，每个证书均由前一个证书签发
• 尽可能验证根证书是否已下载至运行的服务器/本地机器

实现代码 #

using System;
using System.Collections.Generic;
using System.Security.Cryptography.X509Certificates;

public bool isValid(List<X509Certificate2> certificates)
{
    // 空列表直接判定无效
    if (certificates == null || certificates.Count == 0)
        return false;

    // 1. 校验所有证书是否未过期
    DateTime now = DateTime.Now;
    foreach (var cert in certificates)
    {
        if (cert.NotBefore > now || cert.NotAfter < now)
            return false;
    }

    // 2. 校验证书链签发关系：除根证书外，每个证书由前一个签发
    for (int i = 1; i < certificates.Count; i++)
    {
        var currentCert = certificates[i];
        var issuerCert = certificates[i - 1];

        // 匹配签发者与前一个证书的主体DN
        if (currentCert.Issuer != issuerCert.Subject)
            return false;

        // 验证签名有效性
        try
        {
            currentCert.Verify(issuerCert.PublicKey);
        }
        catch
        {
            return false;
        }
    }

    // 获取根证书（按示例结构，列表第一个为根证书）
    var rootCert = certificates[0];
    // 确认是根证书（签发者与主体一致）
    if (rootCert.Issuer != rootCert.Subject)
        return false;

    // 3. 校验根证书是否存在于本地受信任根存储
    bool rootExistsLocally = false;
    using (var rootStore = new X509Store(StoreName.Root, StoreLocation.LocalMachine))
    {
        rootStore.Open(OpenFlags.ReadOnly);
        var matchingCerts = rootStore.Certificates.Find(
            X509FindType.FindByThumbprint, 
            rootCert.Thumbprint, 
            validOnly: false);
        rootExistsLocally = matchingCerts.Count > 0;
        rootStore.Close();
    }

    // 4. 校验根证书是否受信任（通过X509Chain验证）
    bool isRootTrusted = false;
    using (var chain = new X509Chain())
    {
        // 禁用自动下载根证书，仅检查本地存储
        chain.ChainPolicy.RevocationMode = X509RevocationMode.NoCheck;
        chain.ChainPolicy.VerificationFlags = X509VerificationFlags.IgnoreCertificateAuthorityRevocationUnknown;
        
        // 仅使用传入的证书链构建验证链
        chain.ChainPolicy.ExtraStore.AddRange(certificates.ToArray());
        chain.ChainPolicy.VerificationTime = now;

        isRootTrusted = chain.Build(rootCert);
        // 额外确认链的根节点与目标根证书匹配且存在于本地
        if (isRootTrusted && chain.ChainElements.Count > 0)
        {
            var chainRoot = chain.ChainElements[chain.ChainElements.Count - 1].Certificate;
            isRootTrusted = chainRoot.Thumbprint == rootCert.Thumbprint && rootExistsLocally;
        }
    }

    // 根证书本地存在且受信任则返回有效
    return rootExistsLocally && isRootTrusted;
}

验证逻辑说明 #

• 空列表校验：避免空引用异常，直接判定无效。
• 过期校验：遍历所有证书，对比当前时间与证书的生效/失效时间区间。
• 签发关系校验：从第二个证书开始，先匹配签发者与前一个证书的主体DN，再通过公钥验证签名有效性，确保证书链层级合法。
• 根证书本地存在性：打开本地机器的受信任根证书存储，通过证书指纹查找是否存在目标根证书。
• 根证书信任校验：使用X509Chain构建验证链，禁用自动下载根证书，仅依赖本地存储验证根证书的信任状态。

内容的提问来源于stack exchange，提问作者jon