Invoke-WebRequest不替换curl如何正确发送完整客户端证书链

这个问题和Invoke-WebRequest本身的实现逻辑有关，不是必须切换curl才能解决。
之前服务端信任列表同时包含中间CA时，客户端只需要发送叶子客户端证书就能通过校验；调整为仅信任根CA后，要求TLS握手阶段客户端必须发送完整的证书链（叶子证书+所有层级的中间CA证书），而直接从文件路径单独导入的X509Certificate2对象，默认不会触发Windows Schannel安全组件的自动证书链补全逻辑，所以发出去的请求只带了叶子证书，自然校验失败。

方案1：直接使用打包了完整证书链的PFX文件（改造成本最低） #

• 提前把客户端叶子证书、所有层级的对应中间CA证书打包到同一个PFX文件中，注意仅给叶子证书关联私钥，不要给CA证书添加私钥，也不需要把根CA打进PFX（根CA本就是服务端本地信任的，客户端发送无意义）
• 替换原来的单证书PFX路径，其余请求逻辑完全不用修改，导入这个带完整链的PFX后，传给-Certificate参数即可正常发送完整链。

方案2：将证书导入系统对应存储，让Schannel自动补全链 #

Windows Schannel在做客户端证书认证时，会自动从系统证书存储中查找匹配的中间CA证书，组装成完整链发送，直接从文件临时导入的证书不会触发这个逻辑。可以按如下方式修改代码：

# 导入客户端证书，标记为持久化存储到当前用户个人证书目录
$certificate = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2
$certificate.Import(
    $certificateFilePath, 
    $certificatePassword,
    [System.Security.Cryptography.X509Certificates.X509KeyStorageFlags]::PersistKeySet -bor [System.Security.Cryptography.X509Certificates.X509KeyStorageFlags]::UserKeySet
)
$myStore = New-Object System.Security.Cryptography.X509Certificates.X509Store(
    [System.Security.Cryptography.X509Certificates.StoreName]::My,
    [System.Security.Cryptography.X509Certificates.StoreLocation]::CurrentUser
)
$myStore.Open([System.Security.Cryptography.X509Certificates.OpenFlags]::ReadWrite)
$myStore.Add($certificate)
$myStore.Close()

# 如果本机没有安装对应中间CA证书，执行以下步骤导入到中间证书存储，已安装可跳过
$intermediateCa = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2
$intermediateCa.Import($intermediateCaFilePath)
$caStore = New-Object System.Security.Cryptography.X509Certificates.X509Store(
    [System.Security.Cryptography.X509Certificates.StoreName]::CertificateAuthority,
    [System.Security.Cryptography.X509Certificates.StoreLocation]::CurrentUser
)
$caStore.Open([System.Security.Cryptography.X509Certificates.OpenFlags]::ReadWrite)
$caStore.Add($intermediateCa)
$caStore.Close()

# 原有请求逻辑无需修改，Schannel会自动补全证书链发送
Invoke-WebRequest -Uri $url -Method 'PUT' -Headers @{
    'Authorization' = $accessToken
    'api-version' = $apiVersion
    'Content-Type' = $contentType
} -Body $body -Certificate $certificate

方案3：PowerShell 7+ 可手动指定证书集合（不碰系统存储） #

如果使用的是PowerShell 7及以上版本，可以跳过系统证书存储步骤，直接通过HttpClientHandler手动加载完整证书链集合发起请求，不过这个方案需要改写部分请求逻辑，适合不方便往系统存储写证书的场景。Windows PowerShell 5.1版本没有暴露相关接口，不支持这个方法。

• 不要用临时加载、未持久化的证书对象指望系统自动补链，Schannel的自动链构建逻辑仅对存入证书存储的证书生效
• 可以通过抓包查看TLS握手阶段的Certificate消息，确认客户端发送的证书列表是否包含叶子证书和所有中间CA，只要链完整即可正常通过校验，无需切换curl。

内容的提问来源于stack exchange，提问作者FEST