VM中Windows Service调用API遇SSL证书信任问题，求客户端侧解决方案

当然可以！你完全不需要修改代码或者API服务器配置，只需要在运行Windows服务的VM上正确信任API服务器的SSL证书就能解决这个问题。核心是让Windows服务的运行账户认可这个证书的合法性，下面是具体步骤：

1. 导出API服务器的SSL证书 #

首先你需要获取API服务器的证书文件：

• 用浏览器（比如Edge/IE）访问API的HTTPS地址，点击地址栏的锁形图标，选择“查看证书”。
• 在证书详情窗口中，切换到“详细信息”标签页，点击“复制到文件”，按照向导选择**Base64编码的X.509(.CER)**格式，将证书导出到本地文件（比如api-cert.cer）。

如果API的证书是由中间CA颁发的，记得同时导出中间CA的证书（同样存为.CER格式）。

2. 将证书导入到正确的证书存储区 #

Windows服务通常运行在Local System或Network Service账户下，这些账户使用的是本地计算机的证书存储区，而不是当前登录用户的存储区，所以一定要导入到正确的位置：

图形界面操作步骤： #

• 按下Win + R，输入mmc打开微软管理控制台。
• 点击顶部菜单“文件”→“添加/删除管理单元”，在弹出窗口中选择“证书”，点击“添加”。
• 选择“计算机账户”，点击“下一步”，再选择“本地计算机”，点击“完成”后关闭窗口。
• 在控制台左侧展开证书(本地计算机)：
  • 如果API的证书是根CA颁发的，或者你要直接信任这个证书，就展开“受信任的根证书颁发机构”→“证书”，右键选择“所有任务”→“导入”，按照向导导入之前导出的api-cert.cer。
  • 如果API的证书是中间CA颁发的，先把中间CA证书导入到“中间证书颁发机构”→“证书”存储区，再导入API证书（或者只导入中间CA证书即可，视证书链情况而定）。

PowerShell命令操作（适合批量/远程部署）： #

• 导入到本地计算机根证书存储：

  Import-Certificate -FilePath "C:\path\to\api-cert.cer" -CertStoreLocation "Cert:\LocalMachine\Root"
  

• 导入到本地计算机中间证书存储（用于中间CA证书）：

  Import-Certificate -FilePath "C:\path\to\intermediate-cert.cer" -CertStoreLocation "Cert:\LocalMachine\CA"
  

3. 验证并重启服务 #

• 导入完成后，重启你的Windows服务，确保服务加载新的证书信任配置。
• 测试API调用，如果还是有问题，可以用certutil -verify "C:\path\to\api-cert.cer"命令检查证书链是否完整且被本地计算机信任。

注意：如果你的Windows服务运行在自定义用户账户下，需要将证书导入到该用户的“受信任的根证书颁发机构”存储区（在添加证书管理单元时选择“当前用户”即可），但绝大多数系统服务用的是本地计算机存储区。

内容的提问来源于stack exchange，提问作者CrazyCoder