.NET 5配置Kestrel使用PFX证书后浏览器仍加载localhost证书怎么办

你对浏览器证书工作逻辑的理解没错：TLS握手阶段由Web服务器下发证书，浏览器仅负责校验证书的CA合法性、域名匹配性、有效期等属性。你遇到的问题是自定义证书未被Kestrel正确加载生效，Kestrel fallback到了默认的localhost开发证书。

• 配置优先级冲突：你写的代码配置被appsettings.Development.json、launchSettings.json里的Kestrel节点配置、或者ASPNETCORE_URLS环境变量覆盖，默认开发环境会自动绑定自带的localhost证书
• 自定义证书加载失败无感知：如果嵌入式资源读取失败、证书密码错误，Kestrel默认不会抛出启动异常，会直接降级使用开发证书
• 访问地址/域名不匹配：你访问的是https://localhost:44394而非你配置的https://myapi.mysite.com:44394，或是你使用的泛域名证书不匹配你hosts里配置的域名后缀

1. 先强制禁用开发证书 fallback，提前暴露证书加载问题
   修改ConfigureKestrel配置如下：

ConfigureKestrel(options =>
{
    // 禁用自动加载开发证书，加载失败直接报错而非降级
    options.ConfigureHttpsDefaults(httpsOpts =>
    {
        httpsOpts.DisableDevHttpsCertificate = true;
    });
    options.Listen(IPAddress.Loopback, 44394, listenOptions =>
    {
        var serverCertificate = LoadCertificate();
        if (serverCertificate == null) 
        {
            throw new InvalidOperationException("自定义PFX证书加载失败");
        }
        listenOptions.UseHttps(serverCertificate);
    });
})

2. 校验嵌入式证书加载逻辑

• 右键你的wildcard_mydomain_com.pfx文件，属性中将「生成操作」设置为「嵌入式资源」
• 在LoadCertificate方法中加校验，确认certificateFileInfo.Exists返回为true，确认嵌入式资源的命名空间参数My.API和证书路径匹配

3. 清理冲突配置

• 打开launchSettings.json，将applicationUrl改为https://myapi.mysite.com:44394，删除所有localhost的HTTPS配置
• 删除appsettings.Development.json里所有Kestrel相关的配置节点，避免覆盖代码配置

4. 校验访问逻辑

• 访问时直接使用你配置的域名：https://myapi.mysite.com:44394，不要使用localhost
• 确认你的泛域名证书的可信任域名列表包含你配置的域名，如果证书是*.mydomain.com，hosts里的域名后缀必须是mydomain.com而非其他后缀
• 清空浏览器SSL缓存：Chrome访问chrome://net-internals/#sockets，点击「Flush socket pools」后重新访问

内容的提问来源于stack exchange，提问作者GPGVM