使用C# Npgsql连接PostgreSQL时，无密钥PEM根证书加载失败问题

问题概述 #

使用C#结合Npgsql连接PostgreSQL，系统要求sslmode=VerifyFull，但指定无密钥的SSL根证书文件后连接失败，抛出错误：

"The key contents do not contain a PEM, the content is malformed, or the key does not match the certificate."

排查确认：

• Npgsql内部默认调用X509Certificate2.CreateFromPemFile加载证书，该方法底层会将文件内容同时作为证书和密钥传入，无密钥证书无法通过此方法加载
• 该证书在其他语言环境中可正常用于数据库连接
• SSL根证书本身不需要密钥，且无法获取对应密钥

解决方案 #

绕开Npgsql默认的证书加载逻辑，手动加载无密钥证书后传入连接配置：

步骤说明 #

1. 使用X509Certificate2.CreateFromPem(string, null)方法手动加载无密钥PEM证书，该方法支持单独加载证书（无需密钥）
2. 创建自定义SSL配置，将加载好的证书加入根证书集合
3. 将自定义SSL配置绑定到Npgsql连接对象，再执行连接操作

示例代码 #

using System.IO;
using System.Security.Cryptography.X509Certificates;
using Npgsql;

// 证书路径
var rootCertPath = @"C:\temp\blah.pem";

// 手动加载无密钥证书
var certText = File.ReadAllText(rootCertPath);
var rootCertificate = X509Certificate2.CreateFromPem(certText, null);

// 配置SSL验证规则
var sslOptions = new SslModeOptions
{
    SslMode = SslMode.VerifyFull,
    RootCertificate = new X509Certificate2Collection(rootCertificate)
};

// 构建连接字符串
var connBuilder = new NpgsqlConnectionStringBuilder
{
    Host = "你的PostgreSQL主机地址",
    Database = "目标数据库名",
    Username = "数据库用户名",
    Password = "数据库密码",
    SslMode = SslMode.VerifyFull
};

// 初始化连接并应用SSL配置
using var connection = new NpgsqlConnection(connBuilder.ConnectionString);
connection.SslModeOptions = sslOptions;

// 测试连接
connection.Open();
Console.WriteLine("数据库连接成功");
connection.Close();

原理说明 #

X509Certificate2.CreateFromPemFile方法设计用于加载包含证书和对应私钥的PEM文件，而SSL根证书仅需公钥证书部分。通过手动调用CreateFromPem并传入null作为密钥参数，可正确加载无密钥证书；再将该证书直接传入Npgsql的SSL配置，即可满足VerifyFull模式下的证书验证要求，同时避免了默认加载逻辑的缺陷。

内容的提问来源于stack exchange，提问作者Darren Oakey