C#中从.key文件导入加密私钥加载X509Certificate2的技术问题

我之前也碰到过一模一样的问题——想用C#从加密的.key文件导入私钥来加载X509Certificate2，结果发现RSACryptoServiceProvider根本吃不下这种格式的密钥，折腾了好一阵才搞定。下面是我亲测有效的几种解决方案，你可以按需选用：

X509Certificate2对PFX（PKCS#12）格式的支持最完善，你可以用OpenSSL把私钥和对应的证书合并成一个PFX文件，命令如下：

openssl pkcs12 -export -in your-certificate.crt -inkey your-private-key.key -out combined-cert.pfx

执行时会要求你设置PFX的密码，记好这个密码。之后在C#里就能直接加载了：

// 加载PFX证书
var cert = new X509Certificate2("combined-cert.pfx", "你的PFX密码");

// 用这个证书请求REST API
using var httpClient = new HttpClient();
httpClient.ClientCertificates.Add(cert);

var response = await httpClient.GetAsync("https://目标API地址");
var jsonData = await response.Content.ReadAsStringAsync();

如果不想依赖OpenSSL做转换，在.NET Core 3.0+或者.NET 5及以上版本中，可以用System.Security.Cryptography的新API替代老旧的RSACryptoServiceProvider：

1. 先读取.key文件的内容：

string privateKeyText = File.ReadAllText("your-private-key.key");

2. 导入加密的私钥（需要提供密钥的密码）：

// 注意：如果你的私钥是PKCS#1格式（常见于旧的.key文件），需要先转成PKCS#8，转换命令看下方注意事项
using RSA rsa = RSA.Create();
rsa.ImportFromPem(privateKeyText.ToCharArray(), "你的私钥密码");

3. 把私钥和证书结合成完整的X509Certificate2：

// 先加载不带私钥的证书文件（.crt或.pem格式）
var certWithoutKey = new X509Certificate2("your-certificate.crt");
// 将私钥与证书绑定
var certWithKey = certWithoutKey.CopyWithPrivateKey(rsa);
// 可选：如果需要持久化或避免后续使用的问题，可以重新导出再导入一次
certWithKey = new X509Certificate2(certWithKey.Export(X509ContentType.Pfx));

之后就可以用certWithKey来调用你的REST API了。

• 如果你还在使用.NET Framework（不是.NET Core/.NET 5+），新的RSA API不支持，这时候要么用OpenSSL转PFX，要么引入BouncyCastle库来处理PEM格式的加密私钥。
• 如果你的.key是PKCS#1格式（开头是-----BEGIN RSA PRIVATE KEY-----），需要先转成PKCS#8格式才能用ImportFromPem导入，用OpenSSL命令：

openssl pkcs8 -topk8 -inform PEM -in your-private-key.key -outform PEM -out converted-private-key.pem

内容的提问来源于stack exchange，提问作者billven