为什么 Kestrel 默认不验证客户端证书
Kestrel 本身不主动触发客户端证书协商，即使你配置了
ClientCertificateMode.RequireCertificate，也只在 TLS 层“要求”证书，但不会自动校验其有效性或提取后传递给应用逻辑。常见现象是：客户端发了证书，
HttpContext.Connection.ClientCertificate却为
null，或证书链验证失败却没报错。
根本原因是 Kestrel 的 TLS 握手行为受底层 SChannel（Windows）或 OpenSSL（Linux/macOS）控制，且默认跳过证书链验证（尤其自签名场景），还需显式启用证书传输和验证回调。
必须在Program.cs中调用
UseHttps并传入含
ClientCertificateValidation的
HttpsConnectionAdapterOptionsLinux/macOS 下需确保 OpenSSL 支持 TLS 1.2+，且证书格式为 PEM；Windows 下推荐使用 PFX 并指定密码
ClientCertificateMode.Elysium（旧名）已废弃，正确值是
ClientCertificateMode.RequireCertificate或
ClientCertificateMode.AllowCertificate
如何在 Kestrel 中启用并验证客户端证书
关键不是“加证书”，而是让 Kestrel 把证书交出来，并告诉它“怎么信这个证书”。下面是在
Program.cs中的最小可行配置：
var builder = WebApplication.CreateBuilder(args);
builder.WebHost.ConfigureKestrel(serverOptions =>
{
serverOptions.ListenAnyIP(5001, listenOptions =>
{
listenOptions.UseHttps(httpsOptions =>
{
httpsOptions.ServerCertificate = new X509Certificate2("server.pfx", "password");
httpsOptions.ClientCertificateMode = ClientCertificateMode.RequireCertificate;
httpsOptions.ClientCertificateValidation = (cert, chain, errors) =>
{
// 自定义验证逻辑：例如只接受特定颁发者或指纹
if (cert?.Subject == "CN=client.example.com" && errors == X509ChainStatusFlags.NoError)
return true;
return false;
};
});
});
});
务必设置 ServerCertificate，否则 HTTPS 监听会失败
ClientCertificateValidation回调中
errors是位掩码，不能直接用
== X509ChainStatusFlags.NoError判断，建议用
(errors & ~X509ChainStatusFlags.UntrustedRoot) == 0宽松处理根证书问题 若仅需提取证书不做强验证，可设为
ClientCertificateMode.AllowCertificate，并在中间件里手动检查
HttpContext.Connection.ClientCertificate
为什么 HttpContext.Connection.ClientCertificate 总是 null
这不是代码写错了，而是 Kestrel 没把证书传进 HTTP 上下文——通常因为 TLS 层未完成协商或验证失败被静默丢弃。最常见原因有三个：
客户端没发送证书（浏览器需手动选择，curl要加
--cert client.pem --key client.key） 证书链不完整（服务端缺少中间 CA，导致
chain.Build(cert)返回 false） 证书过期、域名不匹配、密钥用法不支持客户端认证（如缺少
Client AuthenticationEKU）
调试时可在
ClientCertificateValidation回调里加日志：
httpsOptions.ClientCertificateValidation = (cert, chain, errors) =>
{
Console.WriteLine($"Cert subject: {cert?.Subject}, errors: {errors}");
return cert != null && errors == X509ChainStatusFlags.NoError;
};
如果日志没输出，说明客户端根本没发证书；如果输出了但
HttpContext.Connection.ClientCertificate仍为空，检查是否漏了
httpsOptions.ClientCertificateMode = ...这一行。
Linux 下使用 PEM 证书的坑
Kestrel 在 Linux 上不支持直接加载 PEM 格式的私钥（.key 文件），会抛出
System.Security.Cryptography.CryptographicException: Invalid key specification。必须合并为 PKCS#12（.pfx/.p12）或用 OpenSSL 转换：
openssl pkcs12 -export -out server.pfx -inkey server.key -in server.crt -certfile ca-bundle.crt
-certfile必须包含完整证书链（服务器证书 + 所有中间 CA），否则客户端证书验证可能失败 不要用
dotnet dev-certs https --trust生成的开发证书做客户端认证，它不含客户端认证 EKU 若用容器部署，确保 .pfx 文件权限为 600，且
DOTNET_SYSTEM_GLOBALIZATION_INVARIANT=1不影响证书解析（某些 Alpine 镜像需额外安装 ca-certificates）
客户端证书验证真正复杂的地方不在代码行数，而在于证书链完整性、平台 TLS 实现差异、以及错误发生时毫无提示的静默失败。多打日志，少猜原因。
