UWP 14393/.NET Standard 1.4下HTTPS X509客户端认证失效咨询

答案是可以的，但需要针对Windows 10 14393（周年更新）的UWP特性调整证书的处理逻辑——这个版本的UWP在HttpClient证书传递、权限控制上和16299（秋季创意者更新）存在明显差异，默认的实现方式无法正常工作。下面是具体的问题分析和解决步骤：

问题根源 #

Windows 10 14393的UWP平台对System.Net.Http.HttpClientHandler的ClientCertificates集合支持有限，直接通过handler.ClientCertificates.AddRange(certs)添加的证书无法被正确附加到请求中；同时该版本对UWP应用访问系统证书存储的权限控制更严格，默认权限不足以读取MY存储中的证书私钥。

具体解决步骤 #

1. 重写ProcessHttpRequestAsync手动传递证书 #

放弃依赖HttpClientHandler的证书集合，改为在ServiceClientCredentials的ProcessHttpRequestAsync方法中，直接将证书附加到HttpRequestMessage的属性中——这是14393版本UWP能正确识别证书的方式：

public class X : ServiceClientCredentials
{
    private readonly X509Certificate2Collection _clientCerts;

    public X(X509Certificate2Collection certs)
    {
        _clientCerts = certs ?? throw new ArgumentNullException(nameof(certs));
    }

    public override async Task ProcessHttpRequestAsync(HttpRequestMessage request, CancellationToken cancellationToken)
    {
        if (_clientCerts.Count > 0)
        {
            // 利用HttpClientHandler的ClientCertificateKey属性传递证书集合
            request.Properties[HttpClientHandler.ClientCertificateKey] = _clientCerts;
        }
        await base.ProcessHttpRequestAsync(request, cancellationToken).ConfigureAwait(false);
    }
}

2. 声明证书访问权限 #

在UWP应用的Package.appxmanifest中添加证书访问的设备能力，确保应用有权限读取系统证书存储：

<Capabilities>
    <!-- 保留原有必要权限 -->
    <Capability Name="internetClient" />
    <Capability Name="privateNetworkClientServer" />
    
    <!-- 添加证书存储访问权限 -->
    <DeviceCapability Name="certificates">
        <Device Id="localMachine">
            <Function Type="certificateStore" />
        </Device>
        <Device Id="currentUser">
            <Function Type="certificateStore" />
        </Device>
    </DeviceCapability>
</Capabilities>

3. 确保证书私钥可被UWP应用访问 #

Windows 10 14393中，UWP应用默认没有证书私钥的读取权限，需要手动配置：

• 打开证书管理器（certmgr.msc），找到目标证书，右键选择「所有任务」→「管理私钥」
• 在权限窗口中，点击「添加」，输入UWP应用的SID（可通过Get-AppxPackage -Name <你的应用包名> | Select-Object PackageSid命令获取），授予「读取」权限
• 保存设置并重启应用

4. 备选方案：切换到Windows.Web.Http.HttpClient #

如果上述方案仍有问题，可以考虑替换System.Net.Http.HttpClient为UWP原生的Windows.Web.Http.HttpClient——这个API在14393版本对客户端证书的支持更稳定：

// 创建带证书的HttpBaseProtocolFilter
var filter = new HttpBaseProtocolFilter();
// 如果有多个证书，可根据服务器要求选择合适的证书
filter.ClientCertificate = _clientCerts[0];

// 实例化原生HttpClient
var uwpHttpsClient = new Windows.Web.Http.HttpClient(filter);

// 将该HttpClient注入到ServiceClient中（如果ServiceClient支持替换HttpClient实例）
var serviceClient = new YourServiceClient(uwpHttpsClient);

总结 #

只要调整证书的传递方式、声明必要的应用权限，并确保证书私钥可被UWP应用访问，就能在Windows 10 14393环境下成功发起HTTPS X509客户端认证请求。

内容的提问来源于stack exchange，提问作者tmaj