双向SSL调用时X509Certificate2加载Pem证书触发WinHttp 12185错误

• 根因是Windows平台下X509Certificate2.CreateFromPemFile方法加载的证书，私钥默认存放在内存临时密钥容器中，未关联到系统可访问的持久化密钥存储上下文，也没有标记为可导出。WinHttpHandler是Windows原生WinHTTP API的封装，要求客户端证书的私钥必须存储在系统可识别的密钥区，且程序持有对应访问权限，才能读取私钥完成双向TLS握手，所以直接加载的证书会触发报错。
• Postman加载PEM证书时会自动将证书临时导入到当前用户的个人证书存储区，自动完成私钥上下文、权限的适配，因此可以正常使用，和代码直接加载证书的底层处理逻辑完全不同。

以下三个方案均可解决该问题，可根据实际场景选择：

• 方案1：将PEM证书合并为PFX格式加载
  使用OpenSSL将公钥、私钥合并为PFX/P12格式，加载时指定X509KeyStorageFlags参数适配WinHTTP的要求：
  合并命令：
  openssl pkcs12 -export -in 公钥文件路径 -inkey 私钥文件路径 -out 输出的pfx文件路径
  加载代码：

  var myCert = new X509Certificate2("你的pfx文件路径", "pfx文件的密码", 
      X509KeyStorageFlags.PersistKeySet | X509KeyStorageFlags.MachineKeySet | X509KeyStorageFlags.Exportable);
  

• 方案2：重新导入PEM加载的证书修复上下文
  如果不需要保存PFX文件，可以将PEM加载的证书先导出为PFX字节数组，再重新导入并指定存储标记，修复私钥上下文：

  var myCert = X509Certificate2.CreateFromPemFile(_publicFilename, _privateFilename);
  // 重新导入修复私钥上下文
  myCert = new X509Certificate2(myCert.Export(X509ContentType.Pfx), string.Empty, 
      X509KeyStorageFlags.PersistKeySet | X509KeyStorageFlags.MachineKeySet | X509KeyStorageFlags.Exportable);
  

• 方案3：从系统证书存储区读取证书
  手动将证书导入到当前用户的个人证书存储区（运行certmgr.msc，放到当前用户/个人/证书路径下），代码直接从存储区读取证书，完全避开文件加载的上下文问题：

  using var store = new X509Store(StoreName.My, StoreLocation.CurrentUser);
  store.Open(OpenFlags.ReadOnly);
  var myCert = store.Certificates.Find(X509FindType.FindByThumbprint, "你的证书指纹", false)[0];
  store.Close();
  

如果使用了X509KeyStorageFlags.MachineKeySet标记，需要确保程序运行身份对C:\ProgramData\Microsoft\Crypto\RSA\MachineKeys目录有读写权限，否则仍会出现私钥读取失败的问题。

内容的提问来源于stack exchange，提问作者Sreejith Krishnadas