本地wss服务器使用自签名证书触发SSPI失败如何解决

导致该报错的核心原因是你的自签名证书缺少服务端TLS鉴权所需的标准属性，或者运行Windows服务的账户没有证书私钥的读取权限，具体有以下几种常见情况：

• 证书缺少*增强型密钥用法（EKU）*中的服务器身份验证（OID：1.3.6.1.5.5.7.3.1）属性，这是SSL/TLS服务端证书的强制要求，Visual Studio生成的localhost证书默认自带该属性
• 证书没有配置*使用者可选名称（SAN）*字段，TLS 1.2及以上版本的校验逻辑已经不再识别证书公用名（CN），必须在SAN中明确添加localhost才能通过域名校验
• 证书的密钥用法缺少数字签名、密钥加密两个必要属性，无法完成TLS握手阶段的密钥协商
• Windows服务运行的账户（如NETWORK SERVICE、Local Service等服务内置账户）没有该证书私钥的读取权限，虽然初始化加载证书时不会报错，但握手鉴权调用私钥时会触发SSPI错误

1. 校验并修复证书属性
   打开本地计算机证书管理器（按下Win+R输入certlm.msc回车），找到你导入的自签名证书，右键选择【属性】-【详细信息】，逐一核对以下配置：

   • 检查【增强型密钥用法】：必须包含服务器身份验证 (1.3.6.1.5.5.7.3.1)
   • 检查【使用者可选名称】：必须存在DNS项localhost
   • 检查【密钥用法】：必须勾选数字签名、密钥加密
     如果以上任一属性缺失，建议直接用PowerShell重新生成符合要求的自签名证书，执行代码如下：

   # 生成有效期10年的localhost自签名证书，存入本地计算机个人证书存储区
   New-SelfSignedCertificate -DnsName "localhost" -CertStoreLocation "cert:\LocalMachine\My" -KeyUsage DigitalSignature, KeyEncipherment -KeyAlgorithm RSA -KeyLength 2048 -HashAlgorithm SHA256 -NotAfter (Get-Date).AddYears(10) -FriendlyName "WSS Localhost Server Cert"
   

   生成完成后，将该证书从【个人】-【证书】目录复制到【受信任的根证书颁发机构】-【证书】目录即可。

2. 配置证书私钥权限
   在certlm.msc中找到你的服务端证书，右键选择【所有任务】-【管理私钥】，在弹出的权限窗口中添加Windows服务运行的账户，授予读取权限即可。

3. 优化证书加载逻辑
   如果你的证书是从本地文件加载而非从证书存储区读取，建议修改X509Certificate2构造函数，添加密钥存储标记，避免用户上下文隔离导致私钥访问失败：

   var serverCertificate = new X509Certificate2(certificatePath, "mypassword", X509KeyStorageFlags.MachineKeySet | X509KeyStorageFlags.PersistKeySet);
   

内容的提问来源于stack exchange，提问作者Cef