C#/.NET 从证书模板获取算法名称与OID的方法

两类场景均可以拿到对应算法信息，只是取值逻辑和依赖的AD属性不同，不需要依赖第三方组件，用内置的System.DirectoryServices和加密类库就能实现。 #

场景B：Provider Category 为 Key Storage Provider（CNG模板） #

你在msPKI-RA-Application-Policies属性里观察到的算法片段不是权威取值字段，这个属性是多值拼接的策略集合，解析容错率低。这类模板有专门存储算法信息的独立AD属性，直接读取即可：

• 读取msPKI-Asymmetric-Algorithm属性，直接返回明确指定的算法名称，比如ECDH_P256、ECDH_P512、RSA
• 配套可读取msPKI-Asymmetric-Key-Usage、msPKI-Key-Specification属性拿到密钥用途、密钥长度/曲线参数
  你之前在策略串里看到的算法内容，是模板保存时冗余写入的信息，直接读上述专属属性的可靠性更高，不需要做字符串拆分。

场景A：Provider Category 为 Legacy Cryptographic Service Provider（CSP模板） #

这类模板界面显示Determined by CSP是产品设计逻辑——Legacy CSP模板本身不绑定固定算法，算法完全由关联的CSP提供方决定，获取逻辑分两步：

1. 读取模板的msPKI-CSP-Provider属性，拿到模板绑定的CSP名称，比如Microsoft Enhanced Cryptographic Provider v1.0这类值
2. 通过.NET内置的加密类枚举该CSP的默认算法，对应代码片段如下：

DirectoryEntry dEntry = new DirectoryEntry("LDAP://CN=customerAxForbeTemplate,CN=Certificate Templates,CN=Public Key Services,CN=Services,CN=Configuration");
// 拿到绑定的CSP名称
string legacyCspName = dEntry.Properties["msPKI-CSP-Provider"].Value?.ToString();
if (!string.IsNullOrEmpty(legacyCspName))
{
    CspParameters cspParams = new CspParameters(24) { ProviderName = legacyCspName };
    using (var csp = new RSACryptoServiceProvider(cspParams))
    {
        string algoName = csp.SignatureAlgorithm; // 拿到算法名称
        string algoOid = CryptoConfig.MapNameToOID(algoName); // 拿到对应算法OID
    }
}

注意：单个Legacy CSP可能支持多个算法，上述逻辑拿到的是该CSP的默认签名算法，和Windows证书服务签发证书时的实际选用逻辑完全一致，和MMC管理单元显示的"Determined by CSP"行为匹配。

补充说明 #

默认情况下只要查询账号有证书模板容器的读权限，就能读取上述提到的所有AD属性，不需要额外提权。你之前的代码没有拿到算法信息，是因为只读取了name、msPKI-RA-Application-Policies两个属性，漏了模板存储算法相关的专属字段。

内容的提问来源于stack exchange，提问作者JessicaM