C#单请求发送多客户端证书时服务端获取方案相关问询

TLS 握手阶段仅会协商使用 1 个客户端证书，无法在单次 TLS 连接中传输多个客户端证书，你期望在服务端同时获取两个客户端证书的需求无法直接实现。

问题场景梳理 #

你当前的实现链路如下：

• 服务端为托管在 IIS 上的 REST API，已开启强制客户端证书校验，对应绑定配置：

<security mode="Transport">
  <transport clientCredentialType="Certificate" />
</security>

• 服务端读取客户端证书的代码：

new X509Certificate2(HttpContext.Current.Request.ClientCertificate.Certificate)

• 客户端挂载证书的代码：

var instance = new HttpClientHandler();
instance.ClientCertificates.Add(certificate);

你计划实现的是代理类应用的证书校验逻辑：代理服务需要校验证书A，后端真实接口需要校验证书B，因此尝试往HttpClientHandler.ClientCertificates集合中添加两个证书，期望服务端能同时获取到两份证书，该方案无法生效。

原理说明 #

• HttpClientHandler.ClientCertificates为证书候选池，并非传输列表：TLS 握手时客户端会根据服务端返回的受信任CA列表、证书密钥用法等规则，从候选池中自动筛选出1个匹配的证书发送给服务端，不会传递池中所有证书。
• 服务端HttpContext.Current.Request.ClientCertificate对象对应单次TLS连接协商出的唯一客户端证书，本身没有多证书存储的设计，因此无法读取到多个证书。

替代方案 #

你可以通过以下两种方式满足底层业务需求：

• 业务层传参：将第二个证书序列化为base64字符串，放到请求头、请求体等业务字段中传递，服务端读取后转换为X509Certificate2对象使用，注意做好传输加密和签名校验，避免证书泄露或篡改。
• 代理端预配置：提前在代理服务端存储需要转发给后端的证书B，不需要客户端传递，代理收到请求验证证书A通过后，直接将预存的证书B添加到发往后端的请求中即可。

内容的提问来源于stack exchange，提问作者Doomic