使用Kestrel手动配置SSL证书实现.NET Web API HTTPS遇异常

嘿，我之前搭建.NET Web API用Let's Encrypt证书时也踩过这个坑！HTTP正常但HTTPS报System.NotSupportedException，大概率是证书文件的格式或者Kestrel的配置方式不对，咱们一步步来搞定：

1. 先确认证书与私钥是否匹配 #

首先得排除最基础的问题：你的certificate.crt和private.key是不是一对？用OpenSSL命令验证：

# 提取证书的模值并生成MD5
openssl x509 -noout -modulus -in certificate.crt | openssl md5
# 提取私钥的模值并生成MD5
openssl rsa -noout -modulus -in private.key | openssl md5

如果两个命令输出的MD5值不一样，说明证书和私钥不匹配，得重新从Let's Encrypt获取正确的配对文件。

2. 两种可行的证书配置方案 #

Let's Encrypt给的三个文件（ca_bundle.crt是中间证书，certificate.crt是域名证书，private.key是私钥），Kestrel不能直接单独识别中间证书，得做些处理：

方案一：合并成PFX文件（兼容所有.NET版本） #

PFX是包含证书链和私钥的单一文件，Kestrel对这个格式支持最稳妥，用OpenSSL生成：

openssl pkcs12 -export -out certificate.pfx -inkey private.key -in certificate.crt -certfile ca_bundle.crt

执行后会让你设置一个导出密码，记好这个密码。然后在appsettings.json里配置Kestrel：

"Kestrel": {
  "Endpoints": {
    "Https": {
      "Url": "https://*:443",
      "Certificate": {
        "Path": "certificate.pfx",
        "Password": "你刚才设置的导出密码"
      }
    }
  }
}

注意：要确保PFX文件被复制到项目输出目录，在项目的.csproj里添加：

<ItemGroup>
  <None Update="certificate.pfx">
    <CopyToOutputDirectory>PreserveNewest</CopyToOutputDirectory>
  </None>
</ItemGroup>

方案二：直接使用PEM格式（适合.NET 5及以上） #

如果你不想转PFX，可以把域名证书和中间证书合并成完整的证书链：

• 打开certificate.crt，把ca_bundle.crt的所有内容追加到它的末尾，保存为full_chain.crt
• 检查private.key是否加密：如果文件开头是-----BEGIN ENCRYPTED PRIVATE KEY-----，需要先解密：

openssl rsa -in private.key -out decrypted_private.key

然后在appsettings.json里配置：

"Kestrel": {
  "Endpoints": {
    "Https": {
      "Url": "https://*:443",
      "Certificate": {
        "Path": "full_chain.crt",
        "KeyPath": "decrypted_private.key", // 用解密后的私钥
        "AllowInvalid": false
      }
    }
  }
}

同样要确保full_chain.crt和decrypted_private.key被复制到输出目录，在.csproj里添加：

<ItemGroup>
  <None Update="full_chain.crt;decrypted_private.key">
    <CopyToOutputDirectory>PreserveNewest</CopyToOutputDirectory>
  </None>
</ItemGroup>

3. 最后检查端口与权限 #

• 确保443端口没有被其他程序占用（可以用netstat -ano | findstr :443查看）
• 如果是Linux系统，非root用户绑定443端口需要额外权限，可以用setcap 'cap_net_bind_service=+ep' ./你的API程序名来授权

按照上面的步骤操作后，重新启动API，HTTPS应该就能正常工作了！

内容的提问来源于stack exchange，提问作者ScumbagNiad