在C#开发中，处理PFX格式的证书文件并获取其中的X509公钥和私钥是常见需求，这类操作常用于数据加密、接口签名、双向认证等场景。PFX证书通常包含公钥、私钥以及证书链信息，需要通过.NET框架提供的证书相关类来完成读取和解析。
准备工作
首先需要明确PFX证书的存储路径和密码，因为PFX文件通常是加密存储的，读取时必须提供正确的密码才能解析出完整的证书信息。同时需要在项目中引用System.Security.Cryptography.X509Certificates命名空间，该命名空间包含了处理X509证书的核心类。
读取PFX证书文件
使用X509Certificate2类可以加载PFX证书文件，该类提供了多个构造函数，其中支持传入证书路径和密码的构造函数可以直接完成证书加载。以下是基础的证书读取代码：
using System;
using System.Security.Cryptography.X509Certificates;
namespace CertificateDemo
{
class Program
{
static void Main(string[] args)
{
// PFX证书文件路径
string pfxPath = @"D:test.pfx";
// PFX证书密码
string pfxPassword = "test123456";
try
{
// 加载PFX证书，第二个参数表示密钥可导出
X509Certificate2 cert = new X509Certificate2(pfxPath, pfxPassword, X509KeyStorageFlags.Exportable);
Console.WriteLine("证书读取成功");
Console.WriteLine("证书主题：" + cert.Subject);
Console.WriteLine("证书有效期至：" + cert.NotAfter);
}
catch (Exception ex)
{
Console.WriteLine("证书读取失败：" + ex.Message);
}
}
}
}
上述代码中，X509KeyStorageFlags.Exportable参数非常重要，如果不设置该标志，后续可能无法导出私钥内容，导致获取私钥失败。
获取X509公钥
从加载完成的X509Certificate2实例中，可以通过PublicKey属性获取证书的公钥信息。公钥通常以字节数组或者特定格式字符串的形式输出，以下是获取公钥的示例代码：
// 假设已经成功加载了cert实例
// 获取公钥的字节数组
byte[] publicKeyBytes = cert.PublicKey.EncodedKeyValue.RawData;
// 将公钥转换为Base64字符串，方便存储和传输
string publicKeyBase64 = Convert.ToBase64String(publicKeyBytes);
Console.WriteLine("X509公钥Base64字符串：");
Console.WriteLine(publicKeyBase64);
// 如果需要获取RSA格式的公钥，可以这样操作
if (cert.PublicKey.Key is System.Security.Cryptography.RSA rsaPublicKey)
{
// 导出RSA公钥的PEM格式
string rsaPublicKeyPem = rsaPublicKey.ExportRSAPublicKeyPem();
Console.WriteLine("RSA公钥PEM格式：");
Console.WriteLine(rsaPublicKeyPem);
}
获取X509私钥
获取私钥的前提是加载证书时设置了X509KeyStorageFlags.Exportable标志，否则私钥无法被导出。可以通过PrivateKey属性获取私钥实例，再根据私钥类型导出对应内容：
// 判断证书是否包含私钥
if (cert.HasPrivateKey)
{
Console.WriteLine("证书包含私钥");
// 获取RSA私钥
if (cert.PrivateKey is System.Security.Cryptography.RSA rsaPrivateKey)
{
// 导出RSA私钥的PEM格式，包含私钥信息
string rsaPrivateKeyPem = rsaPrivateKey.ExportRSAPrivateKeyPem();
Console.WriteLine("RSA私钥PEM格式：");
Console.WriteLine(rsaPrivateKeyPem);
}
// 处理其他类型私钥，比如ECDsa
else if (cert.PrivateKey is System.Security.Cryptography.ECDsa ecdsaPrivateKey)
{
byte[] ecdsaPrivateKeyBytes = ecdsaPrivateKey.ExportECPrivateKey();
string ecdsaPrivateKeyBase64 = Convert.ToBase64String(ecdsaPrivateKeyBytes);
Console.WriteLine("ECDsa私钥Base64字符串：");
Console.WriteLine(ecdsaPrivateKeyBase64);
}
}
else
{
Console.WriteLine("证书不包含私钥，请检查PFX文件或加载参数");
}
常见问题说明
- 如果读取PFX时提示密码错误，需要确认密码是否正确，部分PFX文件可能设置了空密码，此时密码参数可以传入空字符串。
- 如果获取私钥时提示无法导出，需要检查加载证书时是否添加了
X509KeyStorageFlags.Exportable标志，部分证书可能限制了私钥导出权限。 - 不同.NET版本中证书相关的API可能有差异，.NET Core 3.0及以上版本对证书的PEM导出支持更完善，低版本可能需要手动处理编码转换。
注意事项
私钥属于敏感信息，获取后不要明文存储在日志或者公开配置中，避免造成安全风险。如果是生产环境使用，建议将证书存储在系统的证书存储区中，而不是直接读取文件，提升证书的安全性。