部署到IIS的ASP.NET Core应用无法访问当前用户证书存储

• 完善IIS模拟配置

  • 站点身份验证设置：禁用匿名身份验证，启用Windows身份验证（若使用Windows用户体系），否则模拟会失效，仍使用应用池账户。
  • 应用池高级设置：将「加载用户配置文件」设为True，StoreLocation.CurrentUser依赖用户配置文件加载，默认False会导致无法访问当前用户的证书存储。
  • 确认web.config配置正确，确保节点放在<system.web>下：

    <system.web>
      <identity impersonate="true"/>
    </system.web>
    

• 代码层面强制用户上下文执行
  如果是Windows身份验证场景，在证书操作代码外层包裹用户身份模拟逻辑，确保在当前登录用户的上下文里访问存储：

var windowsIdentity = User.Identity as WindowsIdentity;
if (windowsIdentity != null)
{
    using (windowsIdentity.Impersonate())
    {
        using var x509Store = new X509Store(StoreName.My, StoreLocation.CurrentUser);
        x509Store.Open(OpenFlags.ReadOnly);
        // 执行证书查询、读取等操作
        x509Store.Close();
    }
}

• 证书权限配置
  找到目标证书，右键选择「所有任务>管理私钥」，添加当前登录用户（或被模拟的用户），授予读取权限，避免出现能访问存储但无权限读取证书的情况。

内容的提问来源于stack exchange，提问作者vranda