如何在Azure App Service中将根证书导入为受信任根证书

报错原因 #

1. Azure App Service运行在沙箱环境中，默认没有权限修改LocalMachine级别的证书存储，你将证书写入受信任存储的代码在云端未实际生效，根证书始终不被系统信任。
2. X509Certificate2.Verify()方法默认执行系统级证书信任链校验，根证书不在系统受信任根列表中就会抛出UntrustedRoot错误。

适配不同场景的解决方案 #

场景1：所有用户上传证书由固定自签名根证书签发 #

直接将固定根证书配置为App Service的受信任根即可，操作步骤如下：

• 登录Azure门户，进入对应的App Service资源页面
• 左侧导航栏选择证书，切换到公钥证书(.cer) 标签页，上传你的自签名根证书，复制生成的证书指纹
• 左侧导航栏选择配置，在「应用程序设置」板块添加新配置：
  • 键：WEBSITE_LOAD_ROOT_CERTIFICATES
  • 值：刚才复制的根证书指纹，多个指纹用逗号分隔
• 保存配置后App Service会自动重启，重启完成后根证书就会被加入运行环境的受信任根列表，直接使用你最初的校验代码即可正常完成校验。

场景2：用户上传独立自签名证书，无统一签发根 #

这种场景不需要依赖系统信任链校验，修改校验逻辑仅验证证书本身的合法性即可，示例代码如下：

public static bool IsValidCert(this MemoryStream cer)
{
    try
    {
        using X509Certificate2 cert = new X509Certificate2(cer.ToArray());
        // 校验证书有效期
        if (DateTime.Now < cert.NotBefore || DateTime.Now > cert.NotAfter)
        {
            return false;
        }
        // 可根据业务需要补充其他校验规则，比如密钥长度、签名算法合规性等
        return true;
    }
    catch (System.Security.Cryptography.CryptographicException)
    {
        // 捕获证书格式错误类异常
        return false;
    }
}

内容的提问来源于stack exchange，提问作者lokanath das