Web应用调用客户端USB签名获取OAuth2令牌问题求助

问题背景 #

原有C# WinForms程序可通过本地USB证书完成OAuth2授权流程：读取客户端USB证书，调用授权接口触发签名验证，最终获取access_token和refresh_token。将该逻辑迁移至ASP.NET Core Web应用的CertController后，访问mywebapp.com/cert/{clientId}/{clientSecret}时，系统不触发USB签名验证；但直接在浏览器中输入授权URL（https://site1.com/authorize?response_type=code&client_id=xxxxx&redirect_uri=https%3a%2f%2fwww.site1.com），却能正常触发USB签名。

核心原因 #

Web应用的控制器代码运行在服务器端，调用GetUserCertificate()时，读取的是服务器机器的CurrentUser证书存储，而非客户端用户本地的USB证书。而浏览器直接访问授权URL时，是客户端浏览器与授权服务器建立TLS连接，浏览器会读取客户端本地的证书存储，进而触发USB签名验证。

解决方案 #

必须调整流程，让证书验证环节发生在客户端，而非服务器端，推荐以下方案：

方案1：前端引导完成授权流程（最优） #

让前端页面直接跳转至授权服务器URL，由浏览器处理客户端证书验证，授权完成后回调至Web应用后端，再用授权码换取令牌：

1. 前端构造授权URL，引导用户跳转：

   // 前端示例（可嵌入按钮点击事件）
   const clientId = "你的Client ID";
   const redirectUri = encodeURIComponent("https://mywebapp.com/auth/callback");
   const authUrl = `https://site1.com/authorize?response_type=code&client_id=${clientId}&redirect_uri=${redirectUri}`;
   window.location.href = authUrl;
   

2. Web应用后端实现回调接口，接收授权码并换取令牌：

   [ApiController]
   public class AuthController : ControllerBase
   {
       [HttpGet("/auth/callback")]
       public async Task<IActionResult> Callback(string code)
       {
           if (string.IsNullOrEmpty(code))
               return BadRequest("授权码缺失");
   
           const string tokenUrl = "https://site1.com/token";
           var redirectUri = HttpUtility.UrlEncode("https://www.site1.com"); // 需与授权时的redirect_uri完全一致
           
           var requestData = new FormUrlEncodedContent(new Dictionary<string, string>
           {
               {"grant_type", "authorization_code"},
               {"code", code},
               {"client_id", "你的Client ID"},
               {"client_secret", "你的Client Secret"},
               {"redirect_uri", redirectUri}
           });
   
           using var httpClient = new HttpClient();
           var response = await httpClient.PostAsync(tokenUrl, requestData);
           response.EnsureSuccessStatusCode();
           
           var tokenJson = await response.Content.ReadAsStringAsync();
           var token = JsonConvert.DeserializeObject<Token>(tokenJson);
           
           // 后续处理：如存入会话、返回给前端等
           return Ok(new { token.access_token, token.refresh_token });
       }
   }
   
   public class Token
   {
       public string access_token { get; set; }
       public string refresh_token { get; set; }
   }
   

方案2：服务器端证书转发（不推荐） #

若强制在服务器端发起请求，需客户端将证书信息发送至服务器，但USB证书通常绑定硬件，无法导出私钥，此方案可行性极低，且存在私钥泄露的严重安全风险，不建议使用。

关键修正说明 #

原Web应用控制器中的GetUserCertificate()逻辑完全不适用于Web场景，需彻底移除服务器端读取证书的代码，将证书验证环节转移至客户端浏览器完成。

内容的提问来源于stack exchange，提问作者mrapi