C# X509Store无法访问证书存储Web Hosting文件夹证书解决方法

X509Store初始化时如果不指定存储位置，默认读取CurrentUser（当前用户）层级的证书存储，而Let's Encrypt自动存入、供IIS/系统服务使用的Web Hosting证书，默认存放在LocalMachine（本地计算机）存储层级，两个存储位置完全独立，因此默认初始化的代码读不到任何证书。

// 第二个参数显式指定读取本地计算机层级的存储
using X509Store store = new X509Store("Web Hosting", StoreLocation.LocalMachine);
// 加上OpenExistingOnly标记，避免存储不存在时静默创建空存储干扰判断
store.Open(OpenFlags.ReadOnly | OpenFlags.OpenExistingOnly);

// 枚举所有证书
foreach (X509Certificate2 cert in store.Certificates)
{
    // 此处可正常遍历到存储内的所有证书
}

// 实际使用时建议通过指纹精准匹配目标证书，自动过滤无效/过期证书
string targetCertThumbprint = "你的Let's Encrypt证书指纹";
X509Certificate2? grpcCert = store.Certificates
    .Find(X509FindType.FindByThumbprint, targetCertThumbprint, validOnly: true)
    .OfType<X509Certificate2>()
    .FirstOrDefault();

• 权限问题：运行gRPC服务的账号必须拥有目标证书私钥的读取权限，否则即使枚举到证书，SSL握手阶段也会抛出"密钥集不存在"类的异常。配置方法：打开本地计算机证书管理器，找到目标证书，右键选择「所有任务」-「管理私钥」，添加服务运行对应的账号，授予读取权限即可。
• 版本兼容：如果使用的是.NET Framework 4.7以下版本，直接传入"Web Hosting"作为存储名可能存在识别异常，可以替换为存储区的内部标识"\\:WebHosting"初始化存储。
• 证书有效性：取证书时Find方法的validOnly参数建议设为true，会自动过滤过期、不受信任的证书，避免拿到Let's Encrypt自动续期前残留的旧证书。

内容的提问来源于stack exchange，提问作者Travis Pettry