为什么 Kestrel 启动 HTTPS 时提示“Unable to configure HTTPS endpoint”
根本原因通常是证书缺失、路径错误或权限不足。Kestrel 不会自动加载系统证书存储，必须显式提供
pfx或
pem文件路径及密码；若用相对路径（如
"./cert.pfx"），实际工作目录可能不是你预期的项目根目录，导致文件找不到。
常见错误现象包括：
System.IO.FileNotFoundException: Could not find file '.../cert.pfx'
System.Security.Cryptography.CryptographicException: The specified network password is not correct（密码错或空密码未设
AllowEmptyPassword = true） 启动成功但浏览器仍报“不安全”，其实是证书域名不匹配或未信任自签名证书
在 Program.cs 中配置 Kestrel HTTPS 端点（.NET 6+）
推荐在
WebApplicationBuilder构建前通过
WebHost.CreateDefaultBuilder或直接改
builder.WebHost.ConfigureKestrel—— 后者更清晰、可控性更强。
实操建议：
使用绝对路径读取证书，或用AppContext.BaseDirectory拼接，避免路径歧义：
Path.Combine(AppContext.BaseDirectory, "cert.pfx")务必设置
HttpsOptions.SslProtocols，否则 .NET 6+ 默认只启 TLS 1.2+，旧客户端会握手失败 开发环境用自签名证书时，加上
httpsOptions.ClientCertificateMode = ClientCertificateMode.NoCertificate;避免强制验客户端证书
示例片段：
builder.WebHost.ConfigureKestrel(serverOptions =>
{
serverOptions.ListenAnyIP(5001, listenOptions =>
{
listenOptions.UseHttps("cert.pfx", "password123");
listenOptions.Protocols = HttpProtocols.Http1AndHttp2;
});
});
用 appsettings.json 配置 Kestrel HTTPS（适合部署切换）
比硬编码更灵活，尤其适用于多环境部署。但要注意：JSON 中不能直接存二进制证书，只能指向磁盘文件路径；且
password字段明文存在配置里，生产环境建议用密钥管理服务或环境变量注入。
关键配置项：
Kestrel:Endpoints:Https:Url必须为
https://*:5001格式，不能写
http
Kestrel:Endpoints:Https:Certificate:Path值是相对于
AppContext.BaseDirectory的路径
Kestrel:Endpoints:Https:Certificate:Password若为空，需额外设
AllowEmptyPassword = true（代码中配，JSON 不支持该布尔项）
对应 JSON 片段：
"Kestrel": {
"Endpoints": {
"Https": {
"Url": "https://*:5001",
"Certificate": {
"Path": "cert.pfx",
"Password": "password123"
}
}
}
}
开发时快速生成并信任自签名证书（dotnet dev-certs）
别手动 openssl，.NET SDK 自带工具足够用，且能自动导入到当前用户根信任库（Windows/macOS）。
操作步骤：
运行dotnet dev-certs https -v查看状态和路径 首次运行
dotnet dev-certs https --trust会生成并信任证书（macOS 需输密码，Windows 弹窗确认） 若已存在但不信任，先
dotnet dev-certs https --clean再重试 证书默认存于
%USERPROFILE%\AppData\Roaming\ASP.NET\Https\（Windows）或
~/.aspnet/https/（macOS/Linux），文件名即项目名（如
MyApp.pfx）
注意：该证书仅限 localhost，浏览器访问
https://localhost:5001才有效；用 IP 或自定义域名需额外参数（
--ephemeral不适用，得用
openssl重签）。
