.NET Core控制台应用HttpClient如何传入.crt和.key证书文件

你代码里共有3个核心问题，直接导致异常抛出和客户端证书校验失败：

• 错误1：直接使用裸私钥文件file.key初始化X509Certificate2对象，这是抛出System.Security.Cryptography.CryptographicException: 'Cannot find the requested object.'的直接原因。X509Certificate2构造函数仅支持解析证书格式内容（DER/PEM编码的公钥证书、PKCS#12格式的证书私钥合集），无法直接解析裸私钥文件。
• 错误2：未接收CopyWithPrivateKey方法的返回值。该方法不会修改原有证书实例，而是返回一个绑定了私钥的全新证书对象，你原有代码最终添加到HttpClientHandler中的仍然是仅含公钥、无有效私钥的证书，就算私钥加载成功，TLS握手时依然无法完成客户端签名，还是会触发client certificate must be supplied错误。
• 错误3：错误将私钥转换为DSACryptoServiceProvider类型。HashiCorp Vault的TLS客户端认证默认使用RSA/ECDSA算法证书，几乎不会使用DSA算法，强转类型会导致算法不匹配。

正确实现代码 #

.NET 5+ 原生支持PEM格式加载的版本 #

// 加载客户端公钥证书
var publicCert = X509Certificate2.CreateFromPemFile("file.crt");
// 读取PEM格式私钥并导入RSA实例
var pemKeyText = File.ReadAllText("file.key");
using var rsaPrivateKey = RSA.Create();
rsaPrivateKey.ImportFromPem(pemKeyText);
// 绑定私钥，必须接收方法返回的新证书实例
var clientCert = publicCert.CopyWithPrivateKey(rsaPrivateKey);

// Windows平台兼容处理：将绑定私钥的证书转换为CSP可识别的PFX格式，避免握手阶段凭据无效错误
if (OperatingSystem.IsWindows())
{
    clientCert = new X509Certificate2(clientCert.Export(X509ContentType.Pfx));
}

var handler = new HttpClientHandler();
handler.ClientCertificates.Add(clientCert);
// 生产环境请勿跳过服务端证书校验，仅本地自签证书测试时可临时开启
// handler.ServerCertificateCustomValidationCallback = (_, _, _, _) => true;

using var httpClient = new HttpClient(handler);
var request = new HttpRequestMessage(HttpMethod.Post, vaultUrl);
// 注意补充Vault令牌接口要求的请求头、请求体内容，空POST请求会触发接口参数错误
var response = httpClient.SendAsync(request).GetAwaiter().GetResult();
if (response.IsSuccessStatusCode)
{
    var result = response.Content.ReadAsStringAsync().GetAwaiter().GetResult();
}

.NET Framework 4.x 等不支持原生PEM私钥加载的版本 #

可以先使用OpenSSL工具将证书和私钥合并为PFX格式文件，命令如下：

openssl pkcs12 -export -out client.pfx -inkey file.key -in file.crt

执行命令时按提示设置PFX文件密码，之后代码中直接加载PFX文件即可，无需单独绑定私钥：

// 直接加载包含私钥的PFX证书
var clientCert = new X509Certificate2("client.pfx", "你设置的PFX密码");
var handler = new HttpClientHandler();
handler.ClientCertificates.Add(clientCert);
// 后续HttpClient逻辑和上面一致

额外注意事项 #

• 尽量避免在异步代码中直接使用.Result阻塞调用，在带同步上下文的场景（ASP.NET、WPF、WinForm）下极易引发死锁，同步场景优先使用GetAwaiter().GetResult()，异步场景直接使用await关键字即可。
• 排查证书问题时可以先在客户端开启SSL事件日志，确认TLS握手阶段确实发送了携带私钥的客户端证书。

内容的提问来源于stack exchange，提问作者Vaibhav Srivastava