X509Certificate2Collection.Find() 方法，使用 FindByTimeValid 标准，不起作用

Question

我正在使用以下代码仅获取机器上的有效（按时间）证书：

var store = new X509Store(StoreName.My, StoreLocation.CurrentUser);
store.Open(OpenFlags.ReadOnly | OpenFlags.OpenExistingOnly);
var storeCol = store.Certificates;
store.Close();

var notExpiredCol = storeCol.Find(X509FindType.FindByTimeValid, DateTime.Now, true);

在我的机器上它运行良好。但是，在另一台具有相同配置（Windows 10、Visual Studio Community 2017 并安装完全相同的证书）的机器上，它什么也不返回。

来自商店的原始集合，没有过滤器，有证书。如果我们查看 Internet Explorer 下的证书，证书就在那里。如果我们在带有证书管理单元的 MMC 下查看，证书就在那里。我们尝试在当前用户和本地机器下安装证书，代码是从当前用户获取证书集合。

我刚刚尝试使用 FindByTimeExpired 和 FindByTimeNotYetValid 条件，结果相同，都返回一个空集合：

var expiredCol = storeCol.Find(X509FindType.FindByTimeExpired, DateTime.Now, true);
var notYetValidCol = storeCol.Find(X509FindType.FindByTimeNotYetValid, DateTime.Now, true);

有没有人知道发生了什么或者我们可以检查什么来解决问题？

顺便问一下，validOnly 参数在 X509Certificate2Collection.Find() 方法上的具体作用是什么？如果我在其上使用值 false，该方法将返回集合上的证书。

Answer 1

@Kirk Larkin 在他的评论中解决了这个问题。

validOnly 参数设置为 true 导致 X509Certificate2Collection.Find() 方法在它找到的任何证书上调用 X509Certificate2.Verify() 方法（只是不知道为什么文档没有提到那个小特殊性不过），并且该方法执行 X.509 链验证。

在那台机器上，没有安装证书链中的一个受信任的根证书颁发机构，因此该证书被视为不受信任。我们已经安装了缺少的链证书，现在它运行良好。

因此，在我们的案例中，最好不要使用设置为 true 的 validOnly 参数。