C#向Windows证书存储添加自签名证书后无法检索问题

代码存在3个关键配置错误，导致证书写入操作静默失败（Windows证书存储API很多场景不会抛出异常，只会直接放弃写入）：

• CngKey存储位置不匹配：创建CngKey时没有指定CngKeyCreationOptions.MachineKey标识，默认生成的持久化密钥会存到当前用户的私钥目录，而非LocalMachine对应的机器级密钥存储。后续向LocalMachine\My写入证书时，系统找不到对应机器维度的私钥，会直接丢弃证书写入请求。另外你调用CngKey.Exists和CngKey.Open时也没有指定CngKeyOpenOptions.MachineKey，默认只会查询当前用户维度的密钥，判断逻辑本身就不准。
• 错误修改KeySize导致持久化密钥失效：CngKey.Create执行完成时密钥长度就已经固定，你在new RSACng(cngKey)后再给KeySize赋值2048，不会修改原有密钥的长度，而是会直接丢弃你之前创建的命名持久化密钥，自动生成一个临时的、非持久化的2048位RSA密钥，这个临时密钥在程序退出后就会被删除，根本不会和证书绑定持久化。
• 私钥持久化标志缺失：你从Pfx重新导入证书时，只加了X509KeyStorageFlags.MachineKeySet标志，缺少X509KeyStorageFlags.PersistKeySet，这会导致导入的私钥在证书对象被GC回收后就会被系统自动清理，就算证书临时写入存储也会很快消失。

另外你代码中导出GenericPrivateBlob/GenericPublicBlob再重复导入、生成PEM字符串的逻辑都是冗余代码，和证书写入流程完全无关，可以直接删除。

修正后的AddKey方法 #

private const string KEY_NAME = "YourCustomRsaKeyName";
private const string CERTIFICATE_NAME = "YourSelfSignedCertName";

public void AddKey()
{
    CngKey cngKey;
    CngKeyCreationParameters cngParams = new CngKeyCreationParameters
    {
        KeyUsage = CngKeyUsages.AllUsages,
        // 指定密钥创建在机器级存储，和证书存储位置匹配，标记可导出方便后续备份
        KeyCreationOptions = CngKeyCreationOptions.MachineKey | CngKeyCreationOptions.Exportable,
        // 创建密钥时直接指定长度，不要创建完成后修改
        Parameters =
        {
            new CngProperty("Length", BitConverter.GetBytes(2048), CngPropertyOptions.Persist)
        }
    };

    // 判断密钥存在、打开密钥时都要指定机器级维度查询
    if (!CngKey.Exists(KEY_NAME, CngProvider.MicrosoftSoftwareKeyStorageProvider, CngKeyOpenOptions.MachineKey))
    {
        cngKey = CngKey.Create(CngAlgorithm.Rsa, KEY_NAME, cngParams);
    }
    else
    {
        cngKey = CngKey.Open(KEY_NAME, CngProvider.MicrosoftSoftwareKeyStorageProvider, CngKeyOpenOptions.MachineKey);
    }

    using RSACng rsaKey = new RSACng(cngKey);
    X509Store store = new X509Store(StoreName.My, StoreLocation.LocalMachine);
    store.Open(OpenFlags.ReadWrite);
    
    // 提前判断证书是否存在，避免重复写入
    var existCerts = store.Certificates.Find(X509FindType.FindBySubjectDistinguishedName, $"CN={CERTIFICATE_NAME}", false);
    if (existCerts.Count == 0)
    {
        var certificate = BuildSelfSignedServerCertificate(rsaKey);
        store.Add(certificate);
    }
    store.Close();
}

修正后的BuildSelfSignedServerCertificate方法 #

private X509Certificate2 BuildSelfSignedServerCertificate(RSA key)
{
    X500DistinguishedName distinguishedName = new X500DistinguishedName($"CN={CERTIFICATE_NAME}");
    var request = new CertificateRequest(distinguishedName, key, HashAlgorithmName.SHA256, RSASignaturePadding.Pkcs1);
    request.CertificateExtensions.Add(
        new X509KeyUsageExtension(X509KeyUsageFlags.DataEncipherment | X509KeyUsageFlags.KeyEncipherment | X509KeyUsageFlags.DigitalSignature, false));
    request.CertificateExtensions.Add(
       new X509EnhancedKeyUsageExtension(
           new OidCollection { new Oid("1.3.6.1.5.5.7.3.1") }, false));
    var certificate = request.CreateSelfSigned(new DateTimeOffset(DateTime.UtcNow.AddDays(-1)), new DateTimeOffset(DateTime.UtcNow.AddDays(3650)));
    certificate.FriendlyName = CERTIFICATE_NAME;
    
    // 补充PersistKeySet标志，确保证书写入存储后私钥持久化保留
    return new X509Certificate2(
        certificate.Export(X509ContentType.Pfx, "YourPfxPassword"), 
        "YourPfxPassword", 
        X509KeyStorageFlags.MachineKeySet | X509KeyStorageFlags.PersistKeySet | X509KeyStorageFlags.Exportable
    );
}

• 操作LocalMachine位置的证书存储，程序必须以管理员权限运行，否则系统会直接拒绝写入，且不会抛出明确异常。
• 不要在绑定了持久化CngKey的RSACng实例上直接修改KeySize属性，这个操作不会修改原有密钥，只会生成临时密钥替换当前实例的密钥句柄，导致原有持久化密钥被闲置。
• 写入完成后可以直接在本地计算机证书管理控制台（运行certlm.msc打开）的「个人-证书」路径下找到你生成的证书，不要打开当前用户的证书管理器（certmgr.msc），两个存储位置完全独立。

内容的提问来源于stack exchange，提问作者CiucaS