使用自签名证书时Saml2Configuration.SigningCertificate私钥错误问题

问题根因定位 #

你碰到的PrivateKey抛System.NotSupportedException但HasPrivateKey=true是典型的证书私钥使用了CNG（下一代加密）存储提供者，不兼容.NET Framework中SignedXml类依赖的传统CryptoAPI私钥访问接口导致的。ITFoxtec官方测试证书生成时使用的是传统CSP存储，所以能正常读取私钥。

可行解决方案 #

1. 重新生成兼容的自签名证书 #

生成证书时强制指定使用传统RSA加密服务提供程序（CSP）而非默认的CNG提供程序，直接使用如下PowerShell命令生成即可：

# 生成兼容.NET Framework SignedXml的自签名SAML签名证书
$cert = New-SelfSignedCertificate -DnsName "你的测试域名" -CertStoreLocation "Cert:\CurrentUser\My" -KeySpec Signature -KeyExportPolicy Exportable -Provider "Microsoft Enhanced RSA and AES Cryptographic Provider"
# 导出PFX文件（替换路径和密码为你自己的配置）
$pwd = ConvertTo-SecureString "你的PFX密码" -Force -AsPlainText
Export-PfxCertificate -Cert $cert -FilePath "C:\自定义路径\saml-signing.pfx" -Password $pwd

核心参数是-Provider "Microsoft Enhanced RSA and AES Cryptographic Provider"和-KeySpec Signature，不可省略。

2. 代码层面兼容现有自签名证书 #

如果不想重新生成证书，不要直接访问PrivateKey属性，改用.NET 4.6+提供的扩展方法读取RSA私钥，适配签名逻辑即可：

using System.Security.Cryptography.X509Certificates;

// 替换原直接访问PrivateKey的逻辑
RSA rsaPrivateKey = Saml2Configuration.SigningCertificate.GetRSAPrivateKey();
// 给Saml2SignedXml显式指定签名密钥
var signedXml = new Saml2SignedXml(待签名的XmlDocument对象);
signedXml.SigningKey = rsaPrivateKey;
signedXml.ComputeSignature();

该方法可同时兼容CNG和传统CSP存储的私钥，无需修改证书文件。

3. 官方测试证书URI报错修复 #

你提到的ITFoxtec官方PFX报Incorrect URI format错误，是因为.NET MVC默认的路径解析逻辑和ASP.NET Core有差异，加载证书时用物理路径读取即可：

// 错误写法（仅适配ASP.NET Core，MVC不兼容）
// var certPath = "~/App_Data/tfoxtec.identity.saml2.testidpcore_Certificate.pfx";
// 正确MVC适配写法
var certPath = System.Web.Hosting.HostingEnvironment.MapPath("~/App_Data/tfoxtec.identity.saml2.testidpcore_Certificate.pfx");
var signingCert = new X509Certificate2(certPath, "官方测试证书默认密码1234", X509KeyStorageFlags.MachineKeySet | X509KeyStorageFlags.PersistKeySet | X509KeyStorageFlags.Exportable);

内容的提问来源于stack exchange，提问作者NappyCoder