ASP.NET Core Kestrel中*.example通配符HTTPS证书无法生效

可能遗漏的关键步骤 #

1. 本地DNS解析配置 #

浏览器访问dev.example时，必须先将该域名解析到本地IP（127.0.0.1）。修改本地hosts文件：

• Windows：C:\Windows\System32\drivers\etc\hosts
• macOS/Linux：/etc/hosts
  添加一行：

127.0.0.1 dev.example example

2. mkcert证书生成优化 #

mkcert支持直接生成PFX兼容的P12格式证书，无需通过OpenSSL转换，避免格式兼容问题：

mkcert -pkcs12 "*.example" "example"

生成的文件默认名为_wildcard.example+1.p12，密码为空（生成时直接回车即可）。

3. Kestrel配置细节修正 #

证书权限配置（Windows系统）

若将证书导入LocalMachine\My证书存储，需给Kestrel运行账号（如IIS应用池账号、本地登录用户）授予证书私钥的读取权限：

1. 打开certlm.msc，找到目标证书
2. 右键→所有任务→管理私钥
3. 添加对应账号，勾选“读取”权限

避免配置冲突

不要同时在Program.cs和appsettings.json中重复配置HTTPS证书，选一种方式即可。示例appsettings.json配置（确保证书路径为绝对路径或项目输出目录相对路径）：

"Kestrel": {
  "Endpoints": {
    "Https": {
      "Url": "https://*:7240",
      "Certificate": {
        "Path": "C:\\certs\\_wildcard.example+1.p12",
        "Password": ""
      }
    }
  }
}

验证证书SAN扩展

通配符证书必须包含正确的主题备用名称（SAN），可通过以下命令验证：

mkcert -check _wildcard.example.pem

或在Windows证书管理器中查看证书“详细信息”→“主题备用名称”，确认包含*.example和example。

4. 浏览器缓存清理 #

浏览器可能缓存旧证书信息，尝试：

• 清除浏览器缓存（快捷键Ctrl+Shift+Delete）
• 使用隐私模式访问https://dev.example:7240

5. 端口绑定权限（Windows系统） #

若使用1024以下端口，需给dotnet进程授予端口绑定权限：

netsh http add urlacl url=https://*:7240/ user=Everyone

内容的提问来源于stack exchange，提问作者Prefetcher Shatnawi