.NET Core 6下Kestrel TLS证书续期无需重启加载方案咨询

针对两个核心问题的实现方式如下：

一、证书续期自动检测 #

直接用.NET内置能力实现，不需要额外依赖：

• 用FileSystemWatcher监听证书.pem/.crt和.key文件所在目录，只关注对应两个文件的写入、创建、重命名事件。
• 增加3秒防抖逻辑：文件变更事件触发后不要立刻读文件，等3秒等文件完全写入落盘再处理，避免Let's Encrypt非原子写文件导致读损坏。
• 增加校验逻辑：读取新证书后和当前内存中加载的证书比对指纹，确认证书确实更新了再走后续重载逻辑，避免无效触发。

二、无重启加载新证书实现 #

你当前在appsettings.json中静态配置证书路径的方式，Kestrel只会在启动时一次性加载证书，后续文件变更不会自动同步，需要替换为动态证书加载逻辑：
核心是利用Kestrel的ServerCertificateSelector回调，每次TLS握手时从内存中读取最新的证书对象返回，只要在检测到证书更新时替换内存中的证书引用即可，不需要重启服务、不会中断现有连接。

代码实现（Program.cs） #

var builder = WebApplication.CreateBuilder(args);

// 从配置文件读取证书路径信息
var certSection = builder.Configuration.GetSection("HttpsInlineCertAndKeyFile:Certificate");
var certPath = certSection.GetValue<string>("Path")!;
var keyPath = certSection.GetValue<string>("KeyPath")!;
var certPwd = certSection.GetValue<string>("Password") ?? string.Empty;

// 全局变量保存当前生效的证书
X509Certificate2? currentValidCert = null;
// 服务启动时首次加载证书
currentValidCert = X509Certificate2.CreateFromPemFile(certPath, keyPath, certPwd);

// 配置Kestrel HTTPS端点
builder.WebHost.ConfigureKestrel(serverOpts =>
{
    serverOpts.ListenAnyIP(5002, listenOpts =>
    {
        listenOpts.UseHttps(httpsOpts =>
        {
            // 每次TLS握手动态返回当前内存中的最新证书
            httpsOpts.ServerCertificateSelector = (_, _) => currentValidCert;
        });
    });
});

#region 证书自动更新监听
var certFolder = Path.GetDirectoryName(Path.GetFullPath(certPath))!;
var fileWatcher = new FileSystemWatcher(certFolder)
{
    NotifyFilter = NotifyFilters.LastWrite | NotifyFilters.FileName | NotifyFilters.CreationTime,
    IncludeSubdirectories = false
};

// 防抖定时器，避免多次触发
var reloadTimer = new Timer(_ =>
{
    try
    {
        var newCert = X509Certificate2.CreateFromPemFile(certPath, keyPath, certPwd);
        // 指纹不一致才替换证书
        if (currentValidCert == null || newCert.Thumbprint != currentValidCert.Thumbprint)
        {
            var oldCert = currentValidCert;
            currentValidCert = newCert;
            oldCert?.Dispose();
        }
        else
        {
            newCert.Dispose();
        }
    }
    catch
    {
        // 加载失败时不替换现有证书，记录日志即可，不影响服务运行
    }
}, null, Timeout.Infinite, Timeout.Infinite);

void OnCertFileChanged(object sender, FileSystemEventArgs e)
{
    var changedFullPath = Path.GetFullPath(e.FullPath);
    // 只响应目标证书和私钥文件的变更
    if (changedFullPath != Path.GetFullPath(certPath) && changedFullPath != Path.GetFullPath(keyPath))
        return;
    // 触发3秒防抖
    reloadTimer.Change(TimeSpan.FromSeconds(3), Timeout.InfiniteTimeSpan);
}

fileWatcher.Changed += OnCertFileChanged;
fileWatcher.Created += OnCertFileChanged;
fileWatcher.Renamed += OnCertFileChanged;
fileWatcher.EnableRaisingEvents = true;
#endregion

// 原有服务注册逻辑
builder.Services.AddControllers();
// ... 其余自定义服务注册代码

var app = builder.Build();

// 原有中间件配置逻辑
// app.UseHttpsRedirection();
// app.UseAuthorization();
// app.MapControllers();
// ... 其余自定义中间件代码

app.Run();

注意事项 #

• 服务运行账号必须有证书、私钥文件的读取权限，否则会加载失败。
• 旧证书替换后要主动Dispose，避免内存泄漏。
• 证书加载异常时不要抛出异常、不要替换现有内存中的证书，保证现有HTTPS连接正常可用。
• 如果用了IIS寄宿、反向代理，要确认TLS终结是在Kestrel层才生效，如果是反向代理层做TLS终结，需要对应调整反向代理的证书重载逻辑。

内容的提问来源于stack exchange，提问作者Matthew