在.NET/PowerShell Core中使用RSACryptoServiceProvider的SignData及填充问题

嘿，我来帮你搞定PowerShell Core下的RSA签名问题！

首先得说，.NET Core（包括PowerShell Core）在加密API上做了不少优化，虽然旧的RSACryptoServiceProvider还能凑合用，但官方更推荐用抽象的RSA基类，跨平台性更好，代码也更简洁。下面是适配后的完整实现，我会一步步给你讲清楚：

1. 加载PFX证书 #

和Framework里的逻辑差不多，但Core里更推荐直接用构造函数加载证书，参数和之前的Import方法一致，不用改太多：

# 准备要签名的字节数据
$toSign = [System.Text.Encoding]::UTF8.GetBytes("ABCDE")

# 直接通过构造函数加载PFX证书，指定密码和密钥存储标志
$cert = [System.Security.Cryptography.X509Certificates.X509Certificate2]::new(
    "c:\ps\GAdmin\apiaccess.pfx",
    "notasecret",
    [System.Security.Cryptography.X509Certificates.X509KeyStorageFlags]::Exportable -bor [System.Security.Cryptography.X509Certificates.X509KeyStorageFlags]::PersistKeySet
)

# 可以查看证书信息验证是否加载成功
$cert | Format-List *

2. 获取RSA私钥实例 #

这一步是和Framework最大的区别——不用再手动创建CspParameters指定密钥容器了！直接从证书里提取私钥就行，Core会自动处理底层的密钥存储细节：

$rsa = $cert.GetRSAPrivateKey()

3. 执行签名操作 #

关键是要匹配原来的哈希算法和填充模式，不然签名结果会和Framework下的不一致，导致验证失败：

• 如果原来的代码用的是RSACryptoServiceProvider的默认填充（也就是Pkcs1），那这里就用RSASignaturePadding.Pkcs1
• 如果原来用的是OAEP填充，就对应RSASignaturePadding.OaepSHA256（或者你原来用的SHA版本）

比如用SHA256哈希+Pkcs1填充的代码：

# 生成签名
$signature = $rsa.SignData(
    $toSign,
    [System.Security.Cryptography.HashAlgorithmName]::SHA256,
    [System.Security.Cryptography.RSASignaturePadding]::Pkcs1
)

# 可以把签名转成Base64字符串方便传输/存储
$signatureBase64 = [Convert]::ToBase64String($signature)
Write-Host "签名结果(Base64): $signatureBase64"

几个关键注意点 #

• 资源释放：用完$rsa后记得调用$rsa.Dispose()释放资源，避免内存泄漏（PowerShell Core 7+也可以用using块自动释放）
• 哈希算法一致性：一定要和你原来Framework代码里用的哈希算法保持一致，比如原来用SHA1就改成HashAlgorithmName.SHA1（不过SHA1已经不安全，建议升级到SHA256+）
• 跨平台兼容：如果你的脚本要在Linux/macOS上跑，注意PFX文件路径要改成对应系统的格式，而且密钥存储标志在非Windows平台上部分选项可能不生效，但Exportable和PersistKeySet在Windows上还是正常工作的

内容的提问来源于stack exchange，提问作者Svyatoslav Pidgorny