.NET 6中RSACryptoServiceProvider兼容性适配问题咨询

一、RSA签名逻辑适配说明 #

你写的两处RSA替换逻辑完全正确，不需要回退。
.NET Core/.NET 5+ 不再统一将证书私钥封装为RSACryptoServiceProvider类型：Windows环境下默认返回RSACng实现，跨平台环境会返回对应系统的加密API实现，直接强转为RSACryptoServiceProvider必然抛出类型转换异常，必须用抽象基类RSA接收私钥实例。

• 普通数据签名场景：原逻辑使用SHA256哈希算法、PKCS#1签名填充规则，和你替换的rsa.SignData(bytes, HashAlgorithmName.SHA256, RSASignaturePadding.Pkcs1)行为完全等价。原代码中通过CspParameters重新构造RSA实例的操作，是为了解决旧框架下直接读取PrivateKey时的密钥访问权限问题，.NET 6中GetRSAPrivateKey()返回的实例已经默认处理了密钥权限，不需要重复包装。
• SignedXml XML签名场景：SignedXml.SigningKey属性本身接收AsymmetricAlgorithm抽象类型参数，直接传入GetRSAPrivateKey()返回的RSA实例符合官方使用规范。如果修改后出现相关编译或运行报错，直接将项目引用的System.Security.Cryptography.Xml NuGet包升级到6.0.0及以上版本即可——低版本该包不兼容RSACng类型的密钥实例，是迁移时的高频坑点。

二、HTTP请求异常修复说明 #

你遇到的0x80090330数据解密错误属于TLS握手阶段异常，和签名逻辑无关：

• 将过时的WebRequestHandler替换为HttpClientHandler是正确操作，.NET 6下旧的WebRequestHandler存在和CNG密钥存储不兼容的问题，本身也已被标记为过时。
• 手动给HttpClientHandler配置强制使用TLS 1.2是必要操作，旧类库默认可能启用TLS 1.0/1.1协议，目前绝大多数服务端已经禁用这两个低版本协议，会直接导致握手失败。
• 你当前遇到的证书过期报错是现阶段的核心阻塞点，替换为处于有效期内的合法证书（双向TLS场景需同时确认客户端证书有对应私钥权限、服务端证书受客户端信任）后，即可做全链路验证。

三、适配后校验建议 #

为避免签名逻辑和服务端要求不匹配，正式上线前建议做两项校验：

• 用固定测试数据、同一张证书分别在原.NET Framework环境和迁移后的.NET 6环境生成签名，比对签名值一致，确认签名逻辑没有偏差
• 拿到有效证书后，先调用服务端的基础连通性接口确认TLS握手正常，再测试带签名的业务接口

内容的提问来源于stack exchange，提问作者Skynet