C# WebApi 传入客户端证书始终为空

Question

我正在尝试调试从未附加客户端证书的传入请求的问题。

我相当确定请求有一个客户端证书，我有针对两个可能的端点（一个是我们的，一个在第三方服务上）运行的测试代码，运行通用代码以将证书附加到请求和SSL 协商适用于第三方服务。

我在 IISExpress (VS2010) 以及 IIS 8 上遇到了同样的问题。

证书在两台机器上都安装并受信任。

我已经尝试过这里的步骤：http://www.asp.net/web-api/overview/security/working-with-ssl-in-web-api，但没有成功。

我已经尝试了这两种方法来访问证书，都在自定义 ActionFilter 中

var cert = HttpContext.Current.Request.ClientCertificate;

var certificate = actionContext.Request.GetClientCertificate();

是否可能是 ActionFilter 与 DelegatingHandler 的上下文导致了问题？

Answer 1

从哪里获得证书并不重要。确保证书位于正确的位置，尤其是 CA 颁发者证书。这应该在您的本地计算机的 Trusted CA 文件夹中。您可以使用 OpenSSL 解决此问题，并查看证书是否导致问题。

一个很常见的问题是在握手过程中，服务器会发送一个受信任的 CA 列表，但是有一个限制，因此如果您有很多受信任的 CA，其中一些会被截断。因此，客户端永远不会发送证书。您可以尝试清理 Trusted Authorities 文件夹，但请确保不要删除任何重要的强制 CA。另一种方法是在您的注册表编辑器中添加一个条目，以不允许服务器发送受信任的 CA 列表。 You can read more here.

另外，如果您使用的是 IIS，则不需要使用 selfhost。

Answer 2

您的客户端代码是什么样的？您是否将客户端证书附加到您的WebRequestHandler？

使用 ActionFilter 还是 DelegatingHanlder 无关紧要，但我建议使用 DelegatingHandler，因为它发生在控制器上下文创建之前并且性能更高（将更早拒绝未经授权的请求）。