如何在app.config中配置DigiCert CNG证书用于WCF服务认证

Unexpected error: Invalid provider type specified报错和app.config配置项无关，核心原因是WCF默认的证书私钥读取逻辑走旧版CAPI加密接口，无法识别存储在CNG（下一代加密技术）密钥提供程序中的证书私钥——哪怕使用.NET 4及以上版本，老版本WCF的证书查找默认逻辑没有适配CNG密钥存储，就会抛出这个错误。

当前提供的app.config配置本身语法和逻辑都没有问题，配置内容如下：

<behaviors>
  <endpointBehaviors>
    <behavior name="ClientCertificateBehavior">
      <clientCredentials>
        <clientCertificate findValue="2449997a30a8c9df29bd43c1eaa91cb47d89b0cb" storeLocation="LocalMachine" storeName="My" x509FindType="FindByThumbprint"/>            
        <serviceCertificate>
          <authentication certificateValidationMode="None" revocationMode="NoCheck"/>
        </serviceCertificate>
      </clientCredentials>
    </behavior>
  </endpointBehaviors>
</behaviors>

<client>
  <endpoint name="Download" address="http://mywebserviceurl.com/MobileService/WebService2.svc" behaviorConfiguration="ClientCertificateBehavior" binding="wsHttpBinding" bindingConfiguration="TheWsHttpBinding" contract="MyApp.FileClient.IDownloadService">
    <identity>
      <certificate encodedValue="*****"/>
    </identity>
  </endpoint>
</client>

<bindings>
  <wsHttpBinding>
    <binding name="TheWsHttpBinding">
      <security>
        <message clientCredentialType="Certificate"/>
      </security>
    </binding>
  </wsHttpBinding>
</bindings>

</system.serviceModel>

两种方案选一个就行：

方案1：无需改代码，重新导入证书到CAPI兼容的存储提供程序 #

这是最稳定的方案，适合不方便改客户端代码的场景：

• 打开本地计算机证书管理器，在个人证书目录找到当前使用的DigiCert证书，右键选择「所有任务」-「导出」，导出时勾选「是，导出私钥」，导出为带密码保护的PFX格式文件
• 导出完成后，删除证书存储里的原证书，避免指纹冲突
• 双击刚导出的PFX文件启动导入向导，选择存储位置为「本地计算机」，一路下一步到输入私钥密码的页面，选择「将所有证书放入下列存储」，点击「浏览」选择「个人」存储，重点：不要直接点完成，勾选「标记密钥为可导出」，再选择私钥存储提供程序为Microsoft RSA SChannel Cryptographic Provider或者Microsoft Enhanced Cryptographic Provider v1.0，这两个都是CAPI兼容的旧版提供程序，完成导入后原配置不需要任何修改就能正常识别证书。

方案2：无需修改证书，通过代码手动加载证书绕开WCF默认逻辑 #

如果不方便重新导入证书，可以去掉app.config里clientCertificate节点的findValue等查找配置，在客户端代理初始化时手动加载CNG证书赋值给凭据：

// .NET 4+的X509Certificate2原生支持CNG密钥，直接加载即可
var cert = new X509Certificate2(
    @"你的证书文件本地路径.pfx", 
    "证书导出时设置的密码", 
    X509KeyStorageFlags.MachineKeySet | X509KeyStorageFlags.PersistKeySet
);
// 给WCF客户端凭据赋值
var client = new DownloadServiceClient();
client.ClientCredentials.ClientCertificate.Certificate = cert;

这种方式绕开了WCF默认从证书存储查找证书时走的CAPI逻辑，直接使用.NET底层支持CNG的X509类加载证书，也能解决报错。

注意：不要尝试通过修改app.config里的证书相关配置项解决这个问题，配置层没有提供切换密钥存储API的相关参数，改配置无法解决CNG和CAPI的兼容性问题。

内容的提问来源于stack exchange，提问作者dythim