.Net 6 API证书认证失效 返回403未进入自定义校验逻辑

问题概述 #

• 场景：Azure Function应用携带客户端证书调用自建.NET 6 API，已成功从Azure Key Vault获取X509Certificate2证书实例，请求持续返回403响应
• 现象：Postman手动挂载证书、Function代码携带证书两种场景均复现问题，请求未进入自定义ValidateCertificate证书校验逻辑就返回结果
• 已完成配置：
  • 服务端Kestrel配置Https默认策略，ClientCertificateMode设为AllowCertificate；添加证书认证方案，OnCertificateValidated事件中调用自定义服务校验证书，校验通过后构造ClaimsPrincipal标记认证成功，OnAuthenticationFailed事件返回401
  • 自定义证书校验服务：从Key Vault拉取预期证书，通过比对Thumbprint指纹返回校验结果
  • 业务接口添加[Authorize]特性，指定证书认证方案
  • 客户端侧：将Key Vault获取的证书加入HttpClientHandler.ClientCertificates集合发起请求；已修正证书拉取逻辑，私钥可导出时拉取含私钥的PFX格式证书转换为X509Certificate2实例

排查步骤与修复方案 #

1. 修正Kestrel客户端证书模式配置 #

这是该问题最高发的根因

ClientCertificateMode.AllowCertificate模式下，Kestrel不会在TLS握手阶段主动向客户端请求证书，只有配置为RequireCertificate时，才会在TLS层要求客户端出示证书。未主动请求证书时，客户端即使配置了证书也不会在握手阶段发送，服务端拿不到证书会直接返回403，完全不会进入应用层的认证校验逻辑。
如果服务端部署在反向代理（IIS、Nginx、Azure Application Gateway等）之后，不要在反向代理层直接开启客户端证书校验但未配置证书转发，否则反向代理校验不通过会直接返回403，请求不会到达Kestrel。

配置代码修正：

builder.WebHost.ConfigureKestrel(options =>
{
    options.ConfigureHttpsDefaults(httpsOpts =>
    {
        // 将AllowCertificate替换为RequireCertificate
        httpsOpts.ClientCertificateMode = ClientCertificateMode.RequireCertificate;
        // 临时添加该行，关闭Kestrel内置的证书链校验，避免私有CA/自签名证书在TLS层被直接拒绝
        httpsOpts.AllowAnyClientCertificate();
    });
});

2. 修正客户端证书加载逻辑 #

• 双向TLS认证要求客户端必须携带包含有效私钥的证书，仅公钥证书无法完成握手，会被服务端直接在TLS层拒绝
• 从Azure Key Vault拉取含私钥的PFX证书时，必须显式指定密钥存储标记，否则跨平台运行时会出现私钥权限不足、HttpClient无法读取私钥的问题，导致证书实际未随请求发送

修正后的Key Vault证书加载代码：

var certSecret = await secretClient.GetSecretAsync(certificatePolicy.SecretId.Name);
var clientCert = new X509Certificate2(
    rawData: Convert.FromBase64String(certSecret.Value.Value),
    password: string.Empty,
    keyStorageFlags: X509KeyStorageFlags.MachineKeySet 
                    | X509KeyStorageFlags.PersistKeySet 
                    | X509KeyStorageFlags.Exportable
);
// 将clientCert加入HttpClientHandler.ClientCertificates集合

Postman测试时也需要导入包含私钥的PFX格式证书，仅导入CER公钥证书无法完成认证。

3. 校验中间件执行顺序 #

.NET 6中认证授权中间件的顺序错误会导致认证逻辑不执行，直接被授权层拦截返回403。必须严格按照以下顺序配置中间件：

app.UseHttpsRedirection();
// 认证中间件必须在授权、路由映射之前调用
app.UseAuthentication();
app.UseAuthorization();
app.MapControllers();

4. 反向代理转发配置校验 #

如果服务端部署在反向代理之后：

• 关闭反向代理层的客户端证书强制校验逻辑，将校验逻辑统一放到应用层处理
• 配置反向代理将客户端证书转发到Kestrel：IIS部署需要在web.config中设置forwardWindowsAuthToken="true"，Nginx需要配置$ssl_client_cert转发请求头

5. 证书本身属性校验 #

• 检查客户端证书的增强型密钥用法（EKU）：必须包含Client Authentication (OID: 1.3.6.1.5.5.7.3.2)，否则TLS握手阶段会被判定为无效客户端证书直接拒绝
• 检查服务端证书信任链：如果使用私有CA签发客户端证书，必须将CA根证书安装到服务端的受信任根证书存储区，否则TLS层会直接拒绝不信任的证书
• 检查证书有效期：确认客户端证书在有效期内，未被吊销

内容的提问来源于stack exchange，提问作者Simon Price