SQL Server 2017中应用无法找到Always Encrypted证书的原因排查

这个问题我之前帮不少开发者排查过，核心原因大多绕不开权限、连接字符串配置或者证书访问策略这几个点，咱们一个个拆解：

1. 控制台应用没有访问本地机器证书存储区的权限 #

你把证书存在了**本地机器（Local Machine）**的证书存储区，这个区域的证书默认只有系统账户、管理员组的用户才有读取权限。而你的控制台应用如果是用普通用户身份运行的（比如日常开发用的非管理员账户），就会被拒绝访问证书，自然找不到。

解决办法：

• 右键证书（在证书管理器里找到它）→ 所有任务 → 管理私钥
• 在弹出的权限窗口里，添加你运行控制台应用的用户账户，给它读取权限
• 重启你的应用再试

2. 连接字符串没启用Always Encrypted #

EF要识别并使用Always Encrypted，必须在连接字符串里明确开启这个特性，否则它根本不会尝试去加载证书解密数据。

你需要在连接字符串里加上这段：
Column Encryption Setting=Enabled

比如完整的连接字符串示例：

Server=your-server-name;Database=your-db-name;Trusted_Connection=True;Column Encryption Setting=Enabled;

3. EF没有正确配置证书存储提供者 #

如果你的应用是.NET Core/.NET 5+的控制台程序，默认配置可能不会自动扫描本地机器存储区，需要手动指定证书检索来源：

protected override void OnConfiguring(DbContextOptionsBuilder optionsBuilder)
{
    var connectionString = "你的连接字符串（已包含Column Encryption Setting=Enabled）";
    optionsBuilder.UseSqlServer(connectionString, options =>
    {
        options.UseColumnEncryption(certStore =>
        {
            // 明确指定从本地机器存储区加载证书
            certStore.LocalMachineStore();
        });
    });
}

如果是.NET Framework应用，可能需要在配置文件里添加证书提供者的相关配置，确保它能定位到本地机器存储区的证书。

4. 证书的密钥用法不匹配 #

Always Encrypted要求列主密钥的证书必须具备**密钥交换（Key Encipherment）**的用法，如果你的证书是通过向导生成时没勾选这个选项，也会导致无法被识别。

检查方法：

• 打开证书管理器，找到你的证书 → 查看证书 → 切换到「详细信息」标签页 → 找到「密钥用法」项
• 确认里面包含「密钥交换」，如果没有，需要重新生成符合要求的证书

内容的提问来源于stack exchange，提问作者Dabbas