Websocket连接失败：绑定自签名证书后客户端无法连接如何解决

根本原因 #

触发「TLS服务器凭据的证书未附加私钥信息属性」报错的核心原因有3个，都和当前的证书生成逻辑、后续配置有关：

• 证书密钥用法配置不完整：当前只给证书加了KeyEncipherment密钥用法标志，但TLS服务器证书必须同时包含DigitalSignature标志，缺失会导致系统校验证书时判定私钥用途不匹配，无法识别关联的私钥
• 私钥未设置合法存储标识：你用RSA.Create()生成的是临时内存密钥，生成的证书关联的私钥默认没有标记为可导出、也没有关联到系统密钥存储容器，导出为PFX再被服务加载时，系统无法定位到对应的私钥实体
• 导入配置或权限错误：空密码的PFX在部分Windows版本导入时会丢失私钥关联，且如果运行Websocket服务的账号没有证书私钥的读取权限，也会触发该报错

修复方案 #

1. 修正证书生成代码 #

调整后的代码如下：

var dn = new X500DistinguishedName("CN=" + Dns.GetHostName(), X500DistinguishedNameFlags.None);
// 生成2048位RSA密钥，适配绝大多数平台要求
var rsa = RSA.Create(2048);
var req = new CertificateRequest(dn, rsa, HashAlgorithmName.SHA512, RSASignaturePadding.Pkcs1);

// 补充DigitalSignature密钥用法，符合TLS服务器证书要求
req.CertificateExtensions.Add(new X509KeyUsageExtension(
    System.Security.Cryptography.X509Certificates.X509KeyUsageFlags.KeyEncipherment | 
    System.Security.Cryptography.X509Certificates.X509KeyUsageFlags.DigitalSignature, 
    true));

// Enhanced key usages
req.CertificateExtensions.Add(
                new X509EnhancedKeyUsageExtension(
                    new OidCollection {
                        new Oid("1.3.6.1.5.5.7.3.1")  // TLS Server auth
                    }, false));

req.CertificateExtensions.Add(new X509SubjectKeyIdentifierExtension(req.PublicKey, false));

using var cert = req.CreateSelfSigned(DateTimeOffset.Now, DateTimeOffset.Now.AddYears(1));
cert.FriendlyName = "Test";

// 设置非空PFX密码，避免部分系统导入时丢失私钥关联
string pfxPassword = "自定义的安全密码";
string CertPath = Path.Combine(certPath, Guid.NewGuid() + ".pfx");
File.WriteAllBytes(CertPath, cert.Export(X509ContentType.Pfx, pfxPassword));

2. 修正证书导入与权限配置 #

• 导入PFX证书时，选择存储位置为「本地计算机」，输入你设置的PFX密码，勾选「标记此密钥为可导出的」、「包括所有扩展属性」两个选项
• 导入完成后打开证书管理控制台，定位到刚才导入的证书，右键选择「所有任务」->「管理私钥」，在权限列表中添加运行Websocket服务的账号（如NETWORK SERVICE、自定义服务账号等），给该账号授予「读取」权限即可

内容的提问来源于stack exchange，提问作者Nivedita Parihar