.NET中如何无需添加至受信任根证书机构，同时处理自签名证书与知名CA证书

我想了解在.NET中，如何在不将证书添加到“受信任根证书颁发机构”的前提下，同时验证自签名证书和来自知名CA的证书。我测试了几种方案，但都存在问题：

测试方案及问题 #

1. 使用CustomTrustStore搭配CustomRootTrust模式时，知名CA的证书无法验证

var chain = new X509Chain();
chain.ChainPolicy.CustomTrustStore.Add(rootCaCertificate);
chain.ChainPolicy.RevocationMode = X509RevocationMode.Online;
chain.ChainPolicy.TrustMode = X509ChainTrustMode.CustomRootTrust;
bool success = chain.Build(endUserCertificate);

问题：知名CA颁发的证书无法通过验证

2. 关闭吊销检查后，自签名证书验证通过，但知名CA证书仍无法验证

var chain = new X509Chain();
chain.ChainPolicy.TrustMode = X509ChainTrustMode.CustomRootTrust;
chain.ChainPolicy.CustomTrustStore.Add(rootCaCertificate);
chain.ChainPolicy.RevocationMode = X509RevocationMode.NoCheck;    
bool success = chain.Build(endUserCertificate);

结果：自签名证书验证通过，但知名CA证书无法在CustomTrustStore中完成验证

3. 将自签名根证书添加到ExtraStore时，因自签名根不被信任而失败

var chain = new X509Chain();
chain.ChainPolicy.ExtraStore.Add(rootCaCertificate);
chain.ChainPolicy.RevocationMode = X509RevocationMode.NoCheck;    
bool success = chain.Build(endUserCertificate);

结果：返回UntrustedRoot: The certificate was not trusted错误

有没有无需修改系统“受信任根证书颁发机构”就能实现需求的方法？我猜想或许可以将系统信任存储中的所有证书都添加到CustomTrustStore中？

解决方案 #

方案一：合并系统根证书与自定义证书到CustomTrustStore #

你的猜想是可行的。将系统“受信任根证书颁发机构”中的所有证书导入到CustomTrustStore，再加上你的自签名根证书，即可同时验证两种证书：

using System.Security.Cryptography.X509Certificates;

var chain = new X509Chain();
// 设置信任模式为自定义根信任
chain.ChainPolicy.TrustMode = X509ChainTrustMode.CustomRootTrust;

// 添加系统受信任根证书到CustomTrustStore
using (var rootStore = new X509Store(StoreName.Root, StoreLocation.CurrentUser))
{
    rootStore.Open(OpenFlags.ReadOnly);
    foreach (var cert in rootStore.Certificates)
    {
        chain.ChainPolicy.CustomTrustStore.Add(cert);
    }
}

// 添加自定义自签名根证书
chain.ChainPolicy.CustomTrustStore.Add(rootCaCertificate);

// 根据需求设置吊销检查模式，示例为在线检查
chain.ChainPolicy.RevocationMode = X509RevocationMode.Online;

bool success = chain.Build(endUserCertificate);

方案二：使用自定义验证回调（更灵活） #

如果不想导入所有系统根证书，可以通过ChainPolicy.VerificationCallback自定义验证逻辑，在回调中判断证书链是否符合要求：

using System.Security.Cryptography.X509Certificates;

var chain = new X509Chain();
// 保留默认信任模式，将自定义证书加入ExtraStore
chain.ChainPolicy.ExtraStore.Add(rootCaCertificate);
chain.ChainPolicy.RevocationMode = X509RevocationMode.Online;

// 设置自定义验证回调
chain.ChainPolicy.VerificationCallback = (sender, certificate, chain, errors) =>
{
    // 知名CA证书默认验证通过
    if (errors == X509ChainStatusFlags.NoError)
    {
        return true;
    }

    // 针对自签名证书的UntrustedRoot错误，检查是否为信任的自定义根
    if ((errors & X509ChainStatusFlags.UntrustedRoot) != 0)
    {
        var rootCert = chain.ChainElements[chain.ChainElements.Count - 1].Certificate;
        return rootCert.Thumbprint.Equals(rootCaCertificate.Thumbprint, StringComparison.OrdinalIgnoreCase);
    }

    // 其他错误返回验证失败
    return false;
};

bool success = chain.Build(endUserCertificate);

注意事项 #

• 方案一中导入系统根证书时，需根据应用运行上下文选择StoreLocation（CurrentUser或LocalMachine）。
• 方案二的回调逻辑可按需扩展，比如添加多个自定义信任根、处理其他错误类型。
• 生产环境建议保留吊销检查（Online或Offline模式），避免关闭检查带来的安全风险。

内容的提问来源于stack exchange，提问作者mn_test347