Linux环境下Kestrel使用自定义信任库实现客户端证书认证的问题

我在Linux环境中基于Kestrel托管的Web项目里，希望使用自定义信任库而非系统内置CA来完成客户端证书认证。尝试配置Kestrel的ClientCertificateValidation回调，但该回调未执行，相关代码如下：

builder.WebHost.UseKestrel(options =>
{
    options.ConfigureHttpsDefaults(opt =>
    {
        
        opt.ClientCertificateMode = ClientCertificateMode.AllowCertificate;
        opt.CheckCertificateRevocation = false;
        opt.ClientCertificateValidation = (certificate2, chain, arg3) =>
        {
            Log.Information(" CLIENT CERTIFICATION VALIDATION START ");
            // 后续验证逻辑
        };
    });
});

根据微软文档说明：

Certificate authentication happens at the TLS level, long before it ever gets to ASP.NET Core

我据此理解这似乎无法通过代码层面配置，想请教是否存在可行的实现方案？

1. 调整Kestrel配置触发验证并指定自定义信任根 #

ClientCertificateValidation回调未执行的核心原因是AllowCertificate模式下，TLS握手阶段不会强制要求客户端证书，只有客户端主动提供时才会触发验证。要强制触发验证并使用自定义CA，需调整配置：

builder.WebHost.UseKestrel(options =>
{
    options.ConfigureHttpsDefaults(opt =>
    {
        // 改为RequireCertificate确保TLS阶段强制要求客户端证书
        opt.ClientCertificateMode = ClientCertificateMode.RequireCertificate;
        opt.CheckCertificateRevocation = false;
        
        // 加载自定义CA证书与服务端证书
        var customCaCert = new X509Certificate2("/path/to/your/custom-ca.crt");
        opt.ServerCertificate = new X509Certificate2("/path/to/your/server-cert.pfx", "cert-password");
        
        // 自定义证书验证逻辑，仅信任指定CA
        opt.ClientCertificateValidation = (cert, chain, errors) =>
        {
            Log.Information("CLIENT CERTIFICATION VALIDATION START");
            // 重置信任策略，仅使用自定义CA
            chain.ChainPolicy.TrustMode = X509ChainTrustMode.CustomRootTrust;
            chain.ChainPolicy.CustomTrustStore.Add(customCaCert);
            chain.ChainPolicy.DisableCertificateDownloads = true;
            chain.ChainPolicy.VerificationFlags = X509VerificationFlags.NoFlag;
            
            // 执行证书链验证
            var isValid = chain.Build(cert);
            if (!isValid)
            {
                foreach (var status in chain.ChainStatus)
                {
                    Log.Error("Certificate chain error: {Msg}", status.StatusInformation);
                }
            }
            return isValid;
        };
    });
});

2. 结合ASP.NET Core证书认证中间件补充校验 #

如果TLS阶段配置无法满足复杂校验需求，可以在ASP.NET Core管道中添加认证中间件，手动完成自定义CA的信任校验：

首先注册认证服务：

builder.Services.AddAuthentication(CertificateAuthenticationDefaults.AuthenticationScheme)
    .AddCertificate(options =>
    {
        options.AllowedCertificateTypes = CertificateTypes.All;
        options.Events = new CertificateAuthenticationEvents
        {
            OnCertificateValidated = context =>
            {
                var customCaCert = new X509Certificate2("/path/to/your/custom-ca.crt");
                var chain = new X509Chain();
                chain.ChainPolicy.TrustMode = X509ChainTrustMode.CustomRootTrust;
                chain.ChainPolicy.CustomTrustStore.Add(customCaCert);
                chain.ChainPolicy.DisableCertificateDownloads = true;
                
                // 验证证书是否由自定义CA签发
                if (!chain.Build(context.ClientCertificate))
                {
                    context.Fail("Client certificate is not trusted by custom CA");
                    return Task.CompletedTask;
                }
                
                // 附加自定义校验逻辑，比如检查有效期、主题信息
                if (context.ClientCertificate.NotAfter < DateTime.UtcNow)
                {
                    context.Fail("Client certificate has expired");
                    return Task.CompletedTask;
                }
                
                context.Success();
                return Task.CompletedTask;
            }
        };
    });

然后在请求管道中启用认证：

app.UseAuthentication();
app.UseAuthorization();

3. Linux环境关键注意事项 #

• 确保自定义CA证书文件权限正确，Kestrel进程拥有读取权限（推荐设置为644，所属用户与运行Kestrel的用户一致）
• PFX格式证书需确保密码正确，且包含完整的证书链
• 不要将自定义CA添加到系统信任库，保持独立的信任域避免干扰其他服务

内容的提问来源于stack exchange，提问作者caffeine_failure