如何使用客户端证书在Web API中进行身份验证和授权

Question

我正在尝试使用客户端证书来使用Web API对设备进行身份验证和授权，并开发了一个简单的概念证明来解决潜在解决方案的问题。我遇到的问题是Web应用程序没有收到客户端证书。一些人报告了这个问题，including in this Q&A，但他们都没有答案。我希望提供更多细节来重振这个问题，并希望得到我的问题的答案。我对其他解决方案持开放态度。主要要求是用C＃编写的独立进程可以调用Web API并使用客户端证书进行身份验证。

此POC中的Web API非常简单，只返回单个值。它使用一个属性来验证是否使用了HTTPS以及是否存在客户端证书。

public class SecureController : ApiController
{
    [RequireHttps]
    public string Get(int id)
    {
        return "value";
    }

}

以下是RequireHttpsAttribute的代码：

public class RequireHttpsAttribute : AuthorizationFilterAttribute 
{ 
    public override void OnAuthorization(HttpActionContext actionContext) 
    { 
        if (actionContext.Request.RequestUri.Scheme != Uri.UriSchemeHttps) 
        { 
            actionContext.Response = new HttpResponseMessage(System.Net.HttpStatusCode.Forbidden) 
            { 
                ReasonPhrase = "HTTPS Required" 
            }; 
        } 
        else 
        {
            var cert = actionContext.Request.GetClientCertificate();
            if (cert == null)
            {
                actionContext.Response = new HttpResponseMessage(System.Net.HttpStatusCode.Forbidden)
                {
                    ReasonPhrase = "Client Certificate Required"
                }; 

            }
            base.OnAuthorization(actionContext); 
        } 
    } 
}

在这个POC中，我只是检查客户端证书的可用性。一旦这个工作，我可以添加证书中的信息检查，以验证证书列表。

以下是IIS中用于此Web应用程序的SSL设置。

以下是使用客户端证书发送请求的客户端的代码。这是一个控制台应用程序。

    private static async Task SendRequestUsingHttpClient()
    {
        WebRequestHandler handler = new WebRequestHandler();
        X509Certificate certificate = GetCert("ClientCertificate.cer");
        handler.ClientCertificates.Add(certificate);
        handler.ServerCertificateValidationCallback = new RemoteCertificateValidationCallback(ValidateServerCertificate);
        handler.ClientCertificateOptions = ClientCertificateOption.Manual;
        using (var client = new HttpClient(handler))
        {
            client.BaseAddress = new Uri("https://localhost:44398/");
            client.DefaultRequestHeaders.Accept.Clear();
            client.DefaultRequestHeaders.Accept.Add(new MediaTypeWithQualityHeaderValue("application/json"));

            HttpResponseMessage response = await client.GetAsync("api/Secure/1");
            if (response.IsSuccessStatusCode)
            {
                string content = await response.Content.ReadAsStringAsync();
                Console.WriteLine("Received response: {0}",content);
            }
            else
            {
                Console.WriteLine("Error, received status code {0}: {1}", response.StatusCode, response.ReasonPhrase);
            }
        }
    }

    public static bool ValidateServerCertificate(
      object sender,
      X509Certificate certificate,
      X509Chain chain,
      SslPolicyErrors sslPolicyErrors)
    {
        Console.WriteLine("Validating certificate {0}", certificate.Issuer);
        if (sslPolicyErrors == SslPolicyErrors.None)
            return true;

        Console.WriteLine("Certificate error: {0}", sslPolicyErrors);

        // Do not allow this client to communicate with unauthenticated servers.
        return false;
    }

当我运行这个测试应用程序时，我返回状态代码403 Forbidden，其中包含“Client Certificate Required”的原因短语，表明它已进入我的RequireHttpsAttribute并且未找到任何客户端证书。通过调试器运行我已经验证证书已加载并添加到WebRequestHandler。证书将导出到正在加载的CER文件中。具有私钥的完整证书位于本地计算机的Web应用程序服务器的个人和受信任根存储中。对于此测试，客户端和Web应用程序正在同一台计算机上运行。

我可以使用Fiddler调用此Web API方法，附加相同的客户端证书，并且它工作正常。使用Fiddler时，它会传递RequireHttpsAttribute中的测试并返回成功的状态代码200并返回预期值。

有没有人遇到HttpClient在请求中没有发送客户端证书并找到解决方案的问题？

更新1：

我还尝试从证书存储区获取包含私钥的证书。以下是我检索它的方法：

    private static X509Certificate2 GetCert2(string hostname)
    {
        X509Store myX509Store = new X509Store(StoreName.My, StoreLocation.LocalMachine);
        myX509Store.Open(OpenFlags.ReadWrite);
        X509Certificate2 myCertificate = myX509Store.Certificates.OfType<X509Certificate2>().FirstOrDefault(cert => cert.GetNameInfo(X509NameType.SimpleName, false) == hostname);
        return myCertificate;
    }

我确认此证书已正确检索，并且已添加到客户端证书集合中。但是我得到了相同的结果，其中服务器代码没有检索任何客户端证书。

为了完整性，这里是用于从文件中检索证书的代码：

    private static X509Certificate GetCert(string filename)
    {
        X509Certificate Cert = X509Certificate.CreateFromCertFile(filename);
        return Cert;

    }

您会注意到，当您从文件中获取证书时，它会返回X509Certificate类型的对象，当您从证书存储区检索它时，它的类型为X509Certificate2。 X509CertificateCollection.Add方法需要一种X509Certificate。

更新2：我仍然试图解决这个问题并尝试了许多不同的选择，但无济于事。

我将Web应用程序更改为在主机名而不是本地主机上运行。
我将Web应用程序设置为需要SSL
我确认证书已设置为客户端身份验证，并且它位于受信任的根目录中
除了在Fiddler中测试客户端证书外，我还在Chrome中对其进行了验证。

在尝试这些选项的过程中，它开始工作。然后我开始退出更改以查看导致其工作的原因。它继续工作。然后我尝试从受信任的根目录中删除证书以验证这是否是必需的并且它已停止工作，现在即使我将证书放回受信任的根目录中，我也无法恢复工作。现在，Chrome甚至不会提示我提供类似于使用的证书，但它在Chrome中失败，但仍可在Fiddler中使用。我必须要有一些神奇的配置。

我还尝试在绑定中启用“协商客户端证书”，但Chrome仍然不会提示我提供客户端证书。这是使用“netsh http show sslcert”的设置

 IP:port                 : 0.0.0.0:44398
 Certificate Hash        : 429e090db21e14344aa5d75d25074712f120f65f
 Application ID          : {4dc3e181-e14b-4a21-b022-59fc669b0914}
 Certificate Store Name  : MY
 Verify Client Certificate Revocation    : Disabled
 Verify Revocation Using Cached Client Certificate Only    : Disabled
 Usage Check    : Enabled
 Revocation Freshness Time : 0
 URL Retrieval Timeout   : 0
 Ctl Identifier          : (null)
 Ctl Store Name          : (null)
 DS Mapper Usage    : Disabled
 Negotiate Client Certificate    : Enabled

这是我正在使用的客户端证书：

我很困惑这个问题是什么。我正在为任何可以帮助我解决这个问题的人添加赏金。

Answer 1

另一答案