ASP.NET应用调用启用SSL的Web API时出现SSL证书问题

问题背景 #

我们公司有一个已启用SSL的Web API，当通过ASP.NET Web应用访问该API时，抛出了如下异常：

System.Security.Cryptography.CryptographicException: Cannot find the original signer.
at System.Security.Cryptography.CryptographicException.ThrowCryptographicException(Int32 hr)
at System.Security.Cryptography.X509Certificates.X509Utils._LoadCertFromFile(String fileName, IntPtr password, UInt32 dwFlags, Boolean persistKeySet, SafeCertContextHandle& pCertCtx)
at System.Security.Cryptography.X509Certificates.X509Certificate.LoadCertificateFromFile(String fileName, Object password, X509KeyStorageFlags keyStorageFlags)
at System.Security.Cryptography.X509Certificates.X509Certificate2.Import(String fileName)

我们已经确认证书路径是正确的，想请教这个问题是否由证书导入错误导致？

问题解答 #

这个错误确实有可能和证书导入/加载的方式相关，但也存在其他常见诱因，我给你拆解下具体的排查方向：

• 证书导入的密钥存储配置问题
  你当前使用的X509Certificate2.Import(String fileName)方法默认不会指定密钥存储标志，如果证书包含私钥，这种导入方式可能导致系统无法正确关联私钥与签名者信息。特别是当ASP.NET应用在IIS下运行时，应用池账户可能无法访问证书的私钥。建议导入时显式指定合适的X509KeyStorageFlags，比如：

  var cert = new X509Certificate2("path/to/cert.pfx", "password", X509KeyStorageFlags.MachineKeySet | X509KeyStorageFlags.PersistKeySet | X509KeyStorageFlags.Exportable);
  

  其中MachineKeySet适用于机器级账户（比如IIS应用池），PersistKeySet确保密钥持久化存储，避免每次加载时重新生成。

• 证书信任链不完整
  即使证书路径正确，如果SSL证书的签发链缺失中间CA证书，系统在验证证书合法性时也会抛出"找不到原始签名者"的错误。你可以双击证书文件，查看「证书路径」标签，确认所有中间证书都已安装到对应的存储区（本地计算机的「中级证书颁发机构」或者当前用户的对应区域）。

• 证书文件本身存在问题
  虽然你确认了路径正确，但证书文件可能损坏，或者仅导出了公钥（未包含私钥）。可以用certutil工具验证证书完整性：

  certutil -verify your-cert-file.pfx
  

  输入证书密码后，工具会返回详细的验证结果，重点查看是否有链验证失败或私钥缺失的提示。

• 应用运行账户的权限不足
  就算证书导入正确，ASP.NET应用的运行账户（比如IIS应用池身份）可能没有读取证书私钥的权限。你可以通过以下步骤配置权限：

  1. 打开证书管理器：运行certlm.msc（本地计算机证书）或certmgr.msc（当前用户证书）
  2. 找到目标证书，右键选择「所有任务」->「管理私钥」
  3. 添加应用池账户，赋予其「读取」权限

总结来说，证书导入错误是潜在原因之一，但更常见的是密钥存储配置、权限或证书链的问题，建议按照上述方向逐一排查。

内容的提问来源于stack exchange，提问作者Prashant