ASP.Net Core 5中间件获取客户端证书为null如何解决

问题场景 #

自定义中间件尝试接收Postman传入的客户端证书时，读取到的证书值始终为Null。已在Program.cs中添加Kestrel证书允许配置，代码如下：

webBuilder.ConfigureKestrel(o =>
{
    o.ConfigureHttpsDefaults(o =>
    o.ClientCertificateMode = 
      ClientCertificateMode.AllowCertificate);
});

原有错误中间件代码：

public class ApiKeyMiddleware
{
    public ApiKeyMiddleware(RequestDelegate next)
    {
        _next = next;
    }
    public async Task InvokeAsync(HttpContext context)
    {
        var cert = context.Request.Connection; // 错误写法，无法获取证书，请求头中也无证书内容
        await _next(context);
    } 
}

核心错误原因 #

context.Request.Connection不是存储客户端证书的属性，该对象仅承载基础连接元信息，且双向TLS握手阶段传输的客户端证书不会写入HTTP请求头，从请求头查找证书的思路本身不成立。

正确证书获取方式 #

客户端证书挂载在HttpContext.Connection对象下，推荐使用异步方法获取，避免线程阻塞，修正后的中间件代码如下：

public class ApiKeyMiddleware
{
    private readonly RequestDelegate _next;

    public ApiKeyMiddleware(RequestDelegate next)
    {
        _next = next;
    }

    public async Task InvokeAsync(HttpContext context)
    {
        // 正确获取客户端证书的写法
        var clientCert = await context.Connection.GetClientCertificateAsync();
        
        if (clientCert == null)
        {
            context.Response.StatusCode = StatusCodes.Status401Unauthorized;
            await context.Response.WriteAsync("未检测到有效客户端证书");
            return;
        }

        // 此处添加自定义证书校验逻辑，如校验证书指纹、颁发者、有效期等
        await _next(context);
    }
}

排查步骤 #

如果修正写法后仍获取不到证书，按以下顺序排查：

• 检查托管模式配置：如果服务是IIS托管而非直接运行Kestrel，IIS默认不会把协商到的客户端证书转发给Kestrel，需要在web.config中添加对应配置开启证书转发：

<system.webServer>
    <security>
        <access sslFlags="Ssl, SslNegotiateCert" />
    </security>
</system.webServer>

• 检查Postman证书配置：添加客户端证书时需准确匹配请求的域名、端口，必须同时上传带私钥的客户端证书（pfx格式，或crt+key配对），仅上传公钥文件无法完成TLS双向认证；同时关闭Fiddler、Charles等抓包代理工具，这类工具的TLS中间人机制会导致客户端证书无法发送到目标服务。
• 检查证书信任链：如果使用自签名客户端证书，需要把签发客户端证书的CA根证书导入到服务运行机器的「受信任的根证书颁发机构」存储中，Kestrel证书链校验失败时会直接丢弃无效证书，返回null。
• 检查反向代理配置：如果服务前置了Nginx、APISIX等反向代理，需要在代理层配置开启客户端证书协商，同时配置代理将证书信息转发到后端服务，直接读取后端Kestrel的证书属性会拿到null。

内容的提问来源于stack exchange，提问作者VPH