Azure Web App部署ASP.NET Core 2应用遇WindowsCryptographicException错误

结合你的错误栈和代码细节，这个问题的核心是证书私钥在Azure Web App沙箱环境中的存储权限限制，我给你整理了两种可行的解决方案：

一、修改代码（推荐，更稳定可靠） #

你的GetPrivateKey方法使用了X509KeyStorageFlags.MachineKeySet，这个标志会让.NET尝试将私钥写入机器级证书存储，但Azure Web App的沙箱环境严格限制了应用对该存储区域的访问，这就是抛出“找不到指定文件”异常的直接原因。

把代码改成使用EphemeralKeySet标志，它会将私钥完全保存在内存中，不需要写入任何磁盘存储：

private static RSA GetPrivateKey(byte[] p12) { 
    var certificate = new X509Certificate2(
        p12, 
        "notasecret", 
        X509KeyStorageFlags.EphemeralKeySet | X509KeyStorageFlags.Exportable
    ); 
    var rsa = certificate.GetRSAPrivateKey(); 
    return rsa; 
}

为什么这个方案有效？ #

EphemeralKeySet会让私钥仅在内存中临时存在，完全绕过了对本地证书存储的读写需求，完美适配Azure Web App的沙箱权限限制，同时还保留了你需要的私钥可导出特性。

二、配置Azure Web App应用池（辅助选项） #

如果你因业务需求必须保留MachineKeySet或者需要访问用户级存储，可以通过Azure Portal开启应用池的用户配置文件加载：

• 登录Azure Portal，找到你的目标Web App
• 进入配置 -> 常规设置
• 滚动到应用池区域，将加载用户配置文件设置为开启
• 点击顶部的保存按钮，然后重启Web App

这个设置会让应用池加载用户配置文件，从而允许访问用户级的证书存储，但相比代码修改，这种方式依赖Azure环境配置，稳定性和通用性不如内存处理方案。

额外检查项 #

1. 确认密钥文件已正确部署：确保你的.p12文件在Visual Studio发布时被复制到Azure服务器。可以右键文件 -> 属性，将复制到输出目录设置为始终复制，或者直接在.csproj中添加：

<ItemGroup>
  <None Update="你的密钥文件名.p12">
    <CopyToOutputDirectory>PreserveNewest</CopyToOutputDirectory>
  </None>
</ItemGroup>

2. 验证.NET运行时版本：在Azure Portal的配置 -> 常规设置里，确认.NET运行时版本已设置为ASP.NET Core 2.0，避免版本不匹配引发的隐性问题。

内容的提问来源于stack exchange，提问作者jonliew