如何让Ubuntu(WSL2)中的.NET接受MITMproxy自签名CA证书？

针对你遇到的.NET应用无法通过mitmproxy代理访问API（报错证书链吊销状态未知）的问题，以下是几种可行的解决方法：

方法1：通过环境变量指定.NET信任的CA证书 #

.NET可以通过SSL_CERT_FILE环境变量直接读取指定的CA证书文件，无需依赖系统证书同步。在启动.NET应用前执行以下命令（替换为你的mitmproxy证书路径，默认路径为~/.mitmproxy/mitmproxy-ca-cert.pem）：

export SSL_CERT_FILE=~/.mitmproxy/mitmproxy-ca-cert.pem
dotnet run

如果需要永久生效，可以将上述export命令添加到WSL2的shell配置文件（如~/.bashrc或~/.zshrc）中。

方法2：将mitmproxy证书导入.NET专属信任存储 #

.NET有独立的证书存储，可通过官方工具将mitmproxy证书导入并信任：

# 可选：清理现有开发环境证书
dotnet dev-certs https --clean
# 导入mitmproxy CA证书并标记为信任
dotnet dev-certs https --import ~/.mitmproxy/mitmproxy-ca-cert.pem --trust

该方法适用于开发调试场景，能让.NET直接识别mitmproxy证书。

方法3：临时禁用证书吊销检查（仅调试用） #

错误提示中提到的RevocationStatusUnknown, OfflineRevocation是因为mitmproxy证书无法进行在线吊销检查。可以临时禁用该检查绕过问题：

方式A：代码层面配置HttpClientHandler #

在创建HttpClient时自定义证书验证逻辑：

var handler = new HttpClientHandler
{
    // 禁用证书吊销检查
    CheckCertificateRevocationList = false,
    // 或者仅信任mitmproxy签发的证书（更安全）
    ServerCertificateCustomValidationCallback = (sender, cert, chain, errors) =>
    {
        return cert.Issuer.Contains("mitmproxy") || errors == SslPolicyErrors.None;
    }
};
using var client = new HttpClient(handler);
// 使用该client发起API请求

方式B：通过环境变量全局禁用 #

启动.NET应用前设置环境变量：

export COMPlus_CheckCertificateRevocationList=0
dotnet run

⚠️ 注意：该方法仅适合本地调试，绝对不能用于生产环境。

方法4：验证系统证书同步状态 #

确认mitmproxy证书已被正确加入系统信任链：

1. 检查/usr/local/share/ca-certificates/下是否存在mitmproxy的证书文件（通常是.crt格式）
2. 重新执行update-ca-certificates确保证书链接生成到/etc/ssl/certs/目录
3. 验证系统证书是否生效：openssl s_client -connect www.google.com:443 -proxy 127.0.0.1:8080，查看输出中是否包含mitmproxy证书信息

内容的提问来源于stack exchange，提问作者Michael