x509certificate2 是 c# 中统一读取 .cer 和 .pfx 文件的首选类型，支持自动识别 der、pem、pkcs#12 格式，加载 .pfx 必须传正确密码，推荐使用 loadfrombytes 并指定 x509keystorageflags，私钥操作应优先调用 getrsaprivatekey()。
用 X509Certificate2 读取 .cer 和 .pfx 文件最直接
绝大多数场景下，X509Certificate2 是 C# 中唯一需要的类型——它能统一处理 DER/PKCS#7 格式的 .cer、PEM 编码的 .cer，以及带私钥的 .pfx（PKCS#12）。不用自己区分 ASN.1 解析或 Base64 剥离，框架已封装好。
常见错误是试图用 X509Certificate（旧版只读类）去加载 .pfx，结果抛出 CryptographicException: The specified network password is not correct 或直接忽略私钥——因为 X509Certificate 根本不支持私钥提取。
-
.cer文件无密码：直接new X509Certificate2("cert.cer")即可 -
.pfx文件有密码：必须传入密码字符串，如new X509Certificate2("cert.pfx", "mypass") - PEM 格式
.cer（以-----BEGIN CERTIFICATE-----开头）也能被自动识别，无需手动转 DER - 若传空密码给
.pfx，会抛CryptographicException；传错密码则报The specified network password is not correct
LoadFromBytes 比文件路径更可控，尤其处理非本地来源
从 HTTP 响应、数据库 BLOB 或内存流中拿到证书原始字节时，别先写临时文件再读——容易权限、编码、清理出问题。直接用静态方法 X509Certificate2.LoadFromBytes 更稳妥。
注意：该方法对 .pfx 同样需要密码参数，但第二个重载支持指定 X509KeyStorageFlags，这直接影响后续能否导出私钥或跨线程使用。
- 服务端代码常用
X509KeyStorageFlags.MachineKeySet避免用户配置文件依赖 - 若后续要调用
GetRSAPrivateKey()，必须确保加载时没用EphemeralKeySet（否则私钥一用就销毁） - PEM 内容需先去掉头尾行和换行符再 Base64 解码，不能直接传原始 PEM 字符串
- 示例：
var cert = X509Certificate2.LoadFromBytes(pfxBytes, "pwd", X509KeyStorageFlags.Exportable)
读取私钥失败？检查 HasPrivateKey 和 GetRSAPrivateKey() 的兼容性
HasPrivateKey 返回 true 只代表证书结构里含私钥信息，不代表当前上下文能访问它——比如 Windows 上受 DPAPI 保护的私钥，在另一用户账户下加载就会静默失败。
更关键的是：.NET Core 2.1+ 和 .NET 5+ 推荐用 GetRSAPrivateKey() 获取强类型密钥对象，而老式 PrivateKey 属性返回 RSACryptoServiceProvider，在非 Windows 平台会抛 PlatformNotSupportedException。
- 永远优先用
cert.GetRSAPrivateKey()，而非cert.PrivateKey - 若返回
null，说明私钥不可用（密码错、权限不足、或加载时未设Exportable标志） -
HasPrivateKey为false时调用GetRSAPrivateKey()不会异常，只是返回null，需主动判空 - Linux/macOS 下 PFX 加载默认不支持 CNG 密钥，若证书含 CNG 私钥，需确认运行时版本 ≥ .NET 5
解析失败常见错误信息及对应动作
证书解析不是黑盒，多数报错直接指向操作偏差。盯住错误信息里的关键词，比查文档更快定位。
-
CryptographicException: The system cannot find the file specified→ 路径错或权限不足，检查File.Exists和进程读取权限 -
CryptographicException: The specified network password is not correct→ 密码错误，或传了null给需要密码的.pfx -
ArgumentException: Data does not contain a valid certificate→ 文件内容损坏，或误把 PEM 全文（含头尾）当二进制传给了LoadFromBytes -
PlatformNotSupportedException: Windows Cryptography API cannot be used on this platform→ 在 Linux 上用了RSACryptoServiceProvider，改用GetRSAPrivateKey()
证书链、扩展字段、签名算法这些深层信息，得靠 cert.Extensions、cert.SignatureAlgorithm 等属性一层层扒——没有捷径，也别指望一个方法吐出全部业务所需字段。
