HttpListenerRequest.GetClientCertificate()无法返回完整证书链如何解决

问题根本原因 #

HttpListener底层基于Windows内核的http.sys驱动实现，默认公开的HttpListenerRequest.GetClientCertificate()托管API设计上仅返回客户端提交的叶子证书，客户端同步发送的中间CA、根CA证书默认不会直接暴露到上层托管代码，和Go TLS栈默认返回完整握手阶段接收的证书链的逻辑不同。

可行实现方案 #

方案1：调用原生httpapi.dll API获取完整证书链（最优方案，无需修改客户端） #

你可以通过调用Windows原生HTTP API直接从TLS握手上下文提取客户端发送的全部证书：

1. 引入Win32 API声明

[StructLayout(LayoutKind.Sequential)]
internal struct HTTP_SSL_CLIENT_CERT_INFO
{
    public uint CertEncodedSize;
    public IntPtr pCertEncoded;
    public uint CertFlags;
    public uint CertTokenInfoSize;
    public IntPtr pCertTokenInfo;
    public uint NumberOfCertificates;
    public IntPtr pCertificateChain;
}

[DllImport("httpapi.dll", SetLastError = true)]
internal static extern uint HttpReceiveClientCertificate(
    IntPtr RequestQueueHandle,
    ulong RequestId,
    uint Flags,
    IntPtr ClientCertConfig,
    ref uint ClientCertConfigLength,
    out uint BytesReturned,
    IntPtr Overlapped
);

2. 从当前HttpListenerRequest中获取请求队列句柄和请求ID，调用上述API获取HTTP_SSL_CLIENT_CERT_INFO结构，其中NumberOfCertificates字段标识客户端发送的证书总数量，pCertificateChain指向所有证书的编码字节数组，逐个解析即可得到完整证书链。
3. 执行证书链校验时，将提取到的中间证书添加到X509Chain.ChainPolicy.ExtraStore中，即可在不预先将中级CA存入系统信任存储的前提下完成完整链校验。

方案2：应用层透传证书链（兼容性方案，需要修改客户端） #

如果不想调用原生API，可以要求客户端在请求的自定义Header或者请求体中携带完整证书链的PEM/Base64编码，服务端接收后解析为X509Certificate2集合再执行校验，该方案需要额外对应用层传输的证书做完整性校验，避免被篡改。

校验示例代码 #

拿到完整证书集合后，按如下逻辑执行链校验：

// leafCert为客户端叶子证书，intermediateCerts为提取到的中间证书集合
var chain = new X509Chain();
chain.ChainPolicy.ExtraStore.AddRange(intermediateCerts.ToArray());
// 根CA已存入系统受信任根存储，无需额外添加
chain.ChainPolicy.RevocationMode = X509RevocationMode.Online; // 根据需求调整吊销检查策略
chain.ChainPolicy.VerificationTime = DateTime.Now;

bool isValid = chain.Build(leafCert);
if (!isValid) {
    // 校验失败，拒绝请求
}

内容的提问来源于stack exchange，提问作者Ramaravishankar