如何检查p7b证书包内证书是否已存在于本地证书存储中

要避免重复导入AWS DocumentDb的TLS证书，核心逻辑是先解析p7b包内的所有证书，再逐个和本地目标证书存储的存量证书做唯一标识匹配，全部匹配成功则无需重复导入。

实现逻辑 #

• 加载p7b格式证书包，提取包内包含的全部X509证书对象
• 以只读权限打开你之前导入证书时选择的目标存储（AWS DocumentDb官方示例通常导入到LocalMachine或CurrentUser位置下的Root根证书存储）
• 以*证书指纹（Thumbprint，证书的全局唯一标识）*为匹配条件，逐个检查本地存储是否存在对应证书
• 所有证书均匹配到则说明安装完成，存在缺失项时再执行导入操作即可

可直接复用的代码 #

using System.Security.Cryptography.X509Certificates;

public static bool CheckP7bAllCertsInstalled(string p7bFilePath, StoreLocation targetStoreLocation, StoreName targetStoreName = StoreName.Root)
{
    // 加载p7b证书包，提取包内所有证书
    X509Certificate2Collection certsInP7b = new X509Certificate2Collection();
    certsInP7b.Import(p7bFilePath);
    if (certsInP7b.Count == 0) throw new ArgumentException("指定p7b文件无有效证书", nameof(p7bFilePath));

    // 只读打开目标本地证书存储
    using X509Store store = new X509Store(targetStoreName, targetStoreLocation);
    store.Open(OpenFlags.ReadOnly);
    try
    {
        foreach (X509Certificate2 cert in certsInP7b)
        {
            // 指纹精确匹配，关闭有效证书校验避免因证书有效期、信任链状态导致漏判
            X509Certificate2Collection matched = store.Certificates.Find(
                X509FindType.FindByThumbprint,
                cert.Thumbprint,
                validOnly: false
            );
            if (matched.Count == 0) return false;
        }
        return true;
    }
    finally
    {
        store.Close();
    }
}

使用注意事项 #

• 调用方法时传入p7b文件的本地路径，以及之前导入证书选择的存储位置即可：如果之前安装时给了管理员权限导入到本地计算机存储，传StoreLocation.LocalMachine；如果是导入到当前用户存储，传StoreLocation.CurrentUser即可
• 指纹匹配逻辑不区分大小写，不会因为存储内指纹的格式问题出现匹配错误
• 校验返回true时直接跳过证书导入流程，返回false时再执行导入操作，完全避免重复导入
• 如果程序运行身份没有LocalMachine存储的读写权限，建议统一使用CurrentUser存储，不需要管理员权限即可完成证书校验、导入操作，也能正常用于TLS连接AWS DocumentDb。

内容的提问来源于stack exchange，提问作者General Electric