使用MailKit 4.10.0的SmtpClient通过StartTLS连接自签名证书SMTP服务器报错

你使用MailKit 4.10.0的SmtpClient通过StartTLS连接自签名证书的SMTP服务器时，出现SSL握手异常（底层为System.IO.IOException: 从传输流收到意外的EOF或0字节），且ServerCertificateValidationCallback回调从未触发。

核心原因 #

ServerCertificateValidationCallback仅在TLS握手的证书验证阶段才会被调用，而当前错误发生在握手初期（甚至还没到证书验证步骤），说明连接在升级TLS的过程中就已中断，因此回调不会执行。

解决步骤 #

• 验证SMTP服务器是否支持StartTLS
  用telnet工具测试：

  telnet localhost 587
  EHLO localhost
  

  查看服务器返回的响应中是否包含STARTTLS字段。如果没有，说明服务器不支持StartTLS，需修改服务器配置开启该功能，或者客户端改用SecureSocketOptions.SslOnConnect（对应465端口的SSL直连）。

• 检查服务器TLS配置

  • 确认服务器绑定的自签名证书是否有效（未过期、域名匹配），且正确配置到SMTP服务的587端口。
  • 检查服务器支持的TLS协议版本，若服务器仅支持较新的TLS 1.3，可手动指定客户端的协议版本：

    using (var client = new SmtpClient())
    {
        client.CheckCertificateRevocation = false;
        client.ServerCertificateValidationCallback = (s, c, h, e) => true;
        client.SslProtocols = System.Security.Authentication.SslProtocols.Tls13;
        client.Connect("localhost", 587, SecureSocketOptions.StartTls);
        // ... 后续发送、断开操作
    }
    

• 排查网络拦截
  检查本地防火墙、杀毒软件是否拦截了SMTP 587端口的TLS握手数据包，临时关闭相关软件测试是否恢复正常。

• 抓包分析握手过程
  使用Wireshark抓取localhost 587端口的流量，查看：

  1. 客户端发送EHLO后，服务器是否返回STARTTLS
  2. 客户端发送STARTTLS后，服务器是否响应并启动TLS握手
  3. 握手过程中是否有数据包丢失或异常断开

内容的提问来源于stack exchange，提问作者Don Chambers