Mac上.NET5应用下载Azure Key Vault证书报MAC验证失败如何解决

根因说明 #

苹果原生安全框架对无密码PKCS12格式证书的解析逻辑与Windows不同：Windows支持传入空字符串string.Empty作为无密码标识，苹果平台仅识别null作为无密码标识，传入空字符串会被判定为密码错误，触发MAC校验失败异常。同时Windows特有的X509KeyStorageFlags.UserKeySet存储标记在苹果平台不兼容，会额外引发钥匙串访问权限问题。

方案1：跨平台适配参数（优先使用） #

仅调整证书构造参数，无需修改证书本身，适配Windows和苹果双平台：

using System.Runtime.InteropServices;

static X509Certificate2 DownloadCertificate(Secret secret) {
    KeyVaultSecret key = new Provider(secret.KeyVaultName).GetSecretAsync(secret.SecretName).Result;
    byte[] pfxBytes = Convert.FromBase64String(key.Value);
    
    // 苹果平台适配逻辑
    if (RuntimeInformation.IsOSPlatform(OSPlatform.OSX) 
        || RuntimeInformation.IsOSPlatform(OSPlatform.iOS) 
        || RuntimeInformation.IsOSPlatform(OSPlatform.MacCatalyst))
    {
        // 传入null作为无密码标识，使用内存存储密钥避免钥匙串权限问题
        return new X509Certificate2(pfxBytes, null, X509KeyStorageFlags.EphemeralKeySet);
    }
    // Windows平台保持原有逻辑
    return new X509Certificate2(pfxBytes, string.Empty, X509KeyStorageFlags.UserKeySet);
}

方案2：内存临时加密证书（备选） #

如果方案1不生效，可在内存中对原始证书做临时加密处理，绕开苹果无密码证书校验限制，全程不会修改Azure Key Vault中存储的原始证书：

using System.Runtime.InteropServices;

static X509Certificate2 DownloadCertificate(Secret secret) {
    KeyVaultSecret key = new Provider(secret.KeyVaultName).GetSecretAsync(secret.SecretName).Result;
    byte[] pfxBytes = Convert.FromBase64String(key.Value);
    
    // 苹果平台适配逻辑
    if (RuntimeInformation.IsOSPlatform(OSPlatform.OSX) 
        || RuntimeInformation.IsOSPlatform(OSPlatform.iOS) 
        || RuntimeInformation.IsOSPlatform(OSPlatform.MacCatalyst))
    {
        // 先加载无密码证书到集合
        var tempCertCollection = new X509Certificate2Collection();
        tempCertCollection.Import(pfxBytes, null, X509KeyStorageFlags.Exportable | X509KeyStorageFlags.EphemeralKeySet);
        // 生成随机临时密码，导出为带密码的PFX后重新导入
        string tempPassword = Guid.NewGuid().ToString("N");
        byte[] tempPfxBytes = tempCertCollection.Export(X509ContentType.Pfx, tempPassword);
        return new X509Certificate2(tempPfxBytes, tempPassword, X509KeyStorageFlags.EphemeralKeySet);
    }
    // Windows平台保持原有逻辑
    return new X509Certificate2(pfxBytes, string.Empty, X509KeyStorageFlags.UserKeySet);
}

以上两种方案都不需要修改Azure Key Vault中存储的原始证书，也不需要提前给证书设置固定密码。

内容的提问来源于stack exchange，提问作者Woody1193