c# - 针对某些请求的客户端证书身份验证

Question

根据这个问题和我得到的答案，我决定遵循客户端证书的路线。但是，我实际上只需要对某些请求强制执行安全性，并且Microsoft 的文档确认这不能用于纯 SSL 身份验证。

这是我需要的：

• 我的服务器（ASP.NET Core）公开了 HTTP 端点；
• 其中一些是公开的，任何人都可以使用，有些是私人的；
• 仅允许已知客户端的封闭列表使用私有端点。

有没有办法从客户端请求客户端证书，但也

• 如果请求是针对公共端点的，则忽略它们
• 如果请求是针对私有端点的，请检查证书是否在列表中？

标签： c#asp.net-corehttps

Answer 1

您可以在 IIS 的 SSL 设置中将客户端证书设置为接受

如果提供了证书，Accept 将获取证书，但也会继续连接客户端未提供的连接。

您可以使用当前的身份验证和授权来检查用户是否映射到当前请求以继续使用私有 API