.NET 9中自签名EC X509证书导出PEM后重新加载失败的问题排查

我来帮你定位这个问题——你遇到的CryptographicException大概率是因为PEM文件写入时携带了UTF-8 BOM（字节顺序标记），而.NET的X509证书解析器无法识别带有BOM的PEM内容，导致解析失败。

问题原因详解 #

当你使用默认的File.WriteAllText(certFilePath, certPem)方法时，.NET会以带BOM的UTF-8编码写入文件。虽然你看到的PEM内容是正常的-----BEGIN CERTIFICATE-----开头，但文件开头的隐藏BOM字符（EF BB BF）会让X509Certificate2.CreateFromPem解析器误判内容格式，或者将BOM当成PEM内容的一部分，最终抛出"密钥内容不包含PEM、格式错误或密钥不匹配"的异常。

解决方案 #

写入PEM文件时，明确指定使用无BOM的UTF-8编码，确保PEM内容没有额外的隐藏字符：

// 替换原写入文件的代码
File.WriteAllText(certFilePath, certPem, new UTF8Encoding(false));

额外验证步骤 #

你可以用文本编辑器（比如Notepad++）打开生成的PEM文件，查看文件编码是否为"UTF-8无BOM"，确认没有额外的隐藏字符干扰解析。

另外需要确认：你使用的X509Certificate2.CreateFromPem(certPemRead, null)重载本身是支持只加载证书（不需要私钥）的，只要PEM内容格式正确，修改编码后就能正常加载。

修改代码后重新运行，应该就能成功从PEM文件中加载证书了。

内容来源于stack exchange