运行时加载X509证书时如何确定私钥CSP/KSP、密钥容器并验证删除？

1. 获取私钥对应的CSP/KSP及密钥容器信息 #

可以直接通过C#代码读取证书对象的私钥属性获取存储信息，代码示例：

using System.Security.Cryptography;
using System.Security.Cryptography.X509Certificates;

// 加载目标证书（注意不要加EphemeralKeySet标记，否则读不到持久化存储信息）
var cert = new X509Certificate2(pfxFile, "somepassphrase");

if (cert.HasPrivateKey)
{
    // 处理CSP存储的旧格式私钥
    if (cert.PrivateKey is RSACryptoServiceProvider rsaCsp)
    {
        Console.WriteLine($"CSP名称：{rsaCsp.CspKeyContainerInfo.ProviderName}");
        Console.WriteLine($"密钥容器名称：{rsaCsp.CspKeyContainerInfo.KeyContainerName}");
        Console.WriteLine($"是否是机器级存储：{rsaCsp.CspKeyContainerInfo.MachineKeyStore}");
    }
    // 处理KSP存储的新格式私钥
    else if (cert.GetRSAPrivateKey() is RSA CngRsa && CngRsa.Key is CngKey cngKey)
    {
        Console.WriteLine($"KSP名称：{cngKey.Provider}");
        Console.WriteLine($"密钥容器名称：{cngKey.KeyName}");
        Console.WriteLine($"是否是机器级存储：{cngKey.IsMachineKey}");
    }
}

拿到这些信息后就可以对应定位到私钥的存储路径：

• 用户级私钥默认存储路径：%APPDATA%\Microsoft\Crypto\RSA（对应CSP）、%APPDATA%\Microsoft\Crypto\Keys（对应KSP）
• 机器级私钥默认存储路径：%ProgramData%\Microsoft\Crypto\RSA\MachineKeys（对应CSP）、%ProgramData%\Microsoft\Crypto\SystemKeys（对应KSP）

2. 验证私钥已删除的方法 #

2.1 代码验证 #

运行删除逻辑后，重新加载证书（不要加临时密钥标记），直接检查私钥可用性即可：

var certAfterDelete = new X509Certificate2(pfxFile, "somepassphrase");
// 正常删除后访问PrivateKey会抛出异常，或者HasPrivateKey返回false
try
{
    bool hasKey = certAfterDelete.HasPrivateKey;
    var key = certAfterDelete.PrivateKey;
    Console.WriteLine("私钥未删除，仍可访问");
}
catch (CryptographicException ex)
{
    if (ex.Message.Contains("Keyset does not exist") || ex.HResult == -2146893802)
    {
        Console.WriteLine("私钥已成功删除");
    }
}

2.2 手动验证 #

如果你拿到了前面的密钥容器名称，可以直接到对应的存储目录下搜索同名文件，删除逻辑运行后如果对应文件名的文件不存在，就说明私钥已经被清除。
另外也可以通过证书管理控制台验证：

1. 运行certmgr.msc（用户级存储）或者certlm.msc（机器级存储）
2. 找到对应证书后右键选择【所有任务】→【管理私钥】
3. 如果弹出「找不到私钥」的错误提示，就说明私钥已经被删除。

内容的提问来源于stack exchange，提问作者lee23