咨询：如何用C#或Selenium实现ECAC网站证书自动化登录

一、C# HttpClient 携带证书的正确配置 #

手动能登录但代码请求失败，大概率是证书加载方式或请求配置没匹配网站要求，试试这些调整：

• 正确加载PFX证书：如果你的证书是.pfx格式，加载时一定要指定合适的存储标志，避免权限或密钥访问问题：

// 替换为你的证书路径、密码
var cert = new X509Certificate2(
    "your-cert-path.pfx", 
    "cert-password", 
    X509KeyStorageFlags.MachineKeySet | X509KeyStorageFlags.PersistKeySet | X509KeyStorageFlags.Exportable
);

var handler = new HttpClientHandler();
handler.ClientCertificates.Add(cert);
// 测试环境可临时跳过证书验证，生产环境务必移除这行
handler.ServerCertificateCustomValidationCallback = (sender, cert, chain, errors) => true;

using var client = new HttpClient(handler);
var response = await client.GetAsync("https://ecac-target-url");

• 补全证书链：部分政府网站要求完整的证书链（根证书+中间证书），要么把这些证书也添加到ClientCertificates集合，要么确保本地证书存储里已经安装了这些依赖证书。
• 锁定TLS版本：这类网站通常只支持特定TLS版本（比如TLS 1.2），手动指定避免自动协商失败：

handler.SslProtocols = SslProtocols.Tls12;

二、Selenium + ChromeDriver 自动选择证书 #

ChromeDriver默认不会自动触发证书选择弹窗，需要通过启动参数或配置文件来实现自动化：

• 通过证书哈希直接指定：先在系统证书管理器里找到目标证书的SHA-1哈希（去掉冒号），然后添加启动参数：

var options = new ChromeOptions();
// 替换为你的证书SHA-1哈希字符串
options.AddArgument("--client-certificate=hash:ABC123DEF456GHI789JKL");

var driver = new ChromeDriver(options);
driver.Navigate().GoToUrl("https://ecac-target-url");

• 复用已导入证书的Chrome配置文件：先手动打开Chrome，导入你的证书并完成一次登录，然后让Selenium复用这个配置文件：

var options = new ChromeOptions();
// 替换为你的Chrome用户数据目录路径
options.AddArgument(@"--user-data-dir=C:\Users\YourUsername\AppData\Local\Google\Chrome\User Data");
// 指定要使用的配置文件（通常是Default）
options.AddArgument(@"--profile-directory=Default");

var driver = new ChromeDriver(options);
driver.Navigate().GoToUrl("https://ecac-target-url");

• 注意运行权限：如果在服务器或非本地账户下运行，要确保进程有权限访问证书存储，必要时切换到有证书访问权限的账户执行。

额外排查技巧 #

• 抓包对比请求差异：用Chrome开发者工具或Fiddler对比手动登录和代码请求的HTTP头、证书信息，看看是否遗漏了网站要求的特定字段或证书属性。
• 检查证书用途：确认你的证书包含Client Authentication（客户端认证）的扩展用途，部分网站会严格验证这一点。

内容的提问来源于stack exchange，提问作者Jorge