C#解析CX509CertificateRequestPkcs10中CSR的CertificatePolicies OID问题

现有代码无法获取目标OID是几个明确的逻辑错误导致的：

• 仅调用request.X509Extensions但没有将扩展集合赋值给变量，后续代码里的extensions对象没有合法数据源，根本读不到任何扩展项。
• 遍历扩展时没有做OID校验就直接强转集合项为CCertificatePolicies：X509Extensions集合内的每一项都是通用IX509Extension实例，只有OID等于2.5.29.32（Certificate Policies扩展的标准OID）的项才能转换为证书策略对应的类型，直接强转非目标扩展会抛出异常，或者拿到空对象。
• 绕开COM对象提供的结构化读取接口，用.NET的AsnEncodedData.Format(true)输出的本地化文本做字符串匹配：这个方法输出的是给人工排查用的调试文本，内容随系统版本、系统语言、OID注册状态变化，未在系统注册的自定义策略OID甚至不会出现在输出文本里，这种匹配逻辑完全不可靠。

项目需要先添加对CERTENROLLLib（CertEnroll 1.0 Type Library）的COM引用，实现代码如下：

using CERTENROLLLib;
using System.Collections.Generic;
using System.Runtime.InteropServices;

public List<string> GetCertPolicyOidsFromCsr(string csrBase64)
{
    List<string> policyOids = new List<string>();
    const string CertPoliciesExtensionOid = "2.5.29.32";
    CX509CertificateRequestPkcs10 request = null;
    
    try
    {
        request = new CX509CertificateRequestPkcs10();
        request.InitializeDecode(csrBase64, EncodingType.XCN_CRYPT_STRING_BASE64_ANY);
        IX509Extensions extensions = request.X509Extensions;
        
        // 遍历扩展定位Certificate Policies项
        for (int i = 0; i < extensions.Count; i++)
        {
            IX509Extension ext = extensions[i];
            if (ext.ObjectId.Value != CertPoliciesExtensionOid) continue;
            
            // 转换为策略扩展接口读取结构化数据
            IX509ExtensionCertificatePolicies certPolicyExt = (IX509ExtensionCertificatePolicies)ext;
            ICertificatePolicies policies = certPolicyExt.Policies;
            
            // 直接遍历取所有策略OID，无需解析原始二进制数据或格式化文本
            for (int j = 0; j < policies.Count; j++)
            {
                IPolicyInformation policy = policies[j];
                policyOids.Add(policy.PolicyOid.Value);
            }
            break;
        }
    }
    finally
    {
        // 手动释放COM对象避免内存泄漏
        if (request != null) Marshal.ReleaseComObject(request);
    }

    return policyOids;
}

• 不要依赖AsnEncodedData.Format()的输出做业务逻辑判断：该方法输出格式没有统一规范，不同环境下返回内容差异极大，仅适合临时调试使用。
• XCN_CRYPT_STRING_BASE64_ANY编码类型会自动忽略PEM格式的头尾标记（-----BEGIN CERTIFICATE REQUEST-----/-----END CERTIFICATE REQUEST-----），不需要手动裁剪CSR字符串。
• 策略OID的友好名不要依赖系统返回的FriendlyName属性，未在当前系统注册的OID该属性会返回空值，建议自行维护OID和友好名的映射表。

内容的提问来源于stack exchange，提问作者Bhupesh Pant