EF6适配Always Encrypted遇阻：无法导入证书至Current User的My存储区

我之前也踩过一模一样的坑，给你几个实打实的排查和解决方向：

1. 先确认证书的存储位置与权限 #

• 打开证书管理器（运行certmgr.msc），仔细检查导入的证书是不是真的在当前用户→个人→证书目录下。有时候导入时手滑选了本地计算机存储区，就会出现"找不到"的情况。
• 右键证书→所有任务→管理私钥，确保运行EF6应用的账户（比如你当前的登录账户，如果是IIS应用就是对应应用池的账户）拥有读取权限。很多时候证书明明存在，但因为权限没开，程序根本访问不到。

2. 检查连接字符串的关键配置 #

EF6的连接字符串必须明确开启Always Encrypted支持，少了这个参数一切白搭：

Server=你的服务器地址;Database=目标数据库;Integrated Security=True;Column Encryption Setting=Enabled;

重点是Column Encryption Setting=Enabled，没有它EF6不会触发Always Encrypted的解密逻辑。

3. 验证证书指纹的准确性 #

报错里的指纹C*******************************9839，一定要和证书管理器里的完全匹配：

• 打开证书的详细信息标签页，找到指纹字段，复制的时候注意不要带空格（系统显示的指纹会有空格分隔，但实际匹配时需要无空格的完整字符串）。
• 可以用PowerShell快速验证证书是否存在：

Get-ChildItem -Path Cert:\CurrentUser\My | Where-Object {$_.Thumbprint -eq "C*******************************9839"}

如果返回空结果，要么证书不在当前用户的My存储区，要么你复制的指纹有误。

4. 服务/后台应用的特殊处理 #

如果你的EF6应用是Windows服务或者IIS后台应用，它运行的账户不是你登录的用户，这时候Current User存储区是服务账户的专属存储，不是你的用户存储。这种情况可以：

• 把证书导入到本地计算机→个人存储区，然后给服务账户分配私钥的读取权限；
• 或者修改服务的登录账户为你导入证书的用户。

5. 确认EF6版本兼容性 #

确保你的EF6版本是6.2.0及以上，早期版本对Always Encrypted的支持存在bug，升级到最新稳定版说不定能直接解决问题。

补充：如果是Code First模式，还要确认实体类对应列的加密配置正确，但从你的报错信息来看，核心问题还是证书的访问权限或存储位置不对，先搞定上面的步骤再说。

内容的提问来源于stack exchange，提问作者Njubster