.NET MAUI安卓iOS应用SSL证书验证报错：无法找到有效证书路径

针对你遇到的unable to find valid certification path to requested target错误，核心原因是移动端设备的证书存储中缺少验证WCF服务证书所需的根证书或中间证书，以下是具体解决步骤：

1. 确认证书链完整性 #

先检查WCF服务返回的证书是否包含完整链：

• 用浏览器访问WCF服务的HTTPS地址，查看证书详情，确认是否包含叶证书、中间证书和根证书。如果服务器仅返回叶证书，移动端无法自动匹配上级证书就会验证失败。
• 导出完整的证书链（包含所有层级），格式保存为.cer或.pem。

2. 在MAUI项目中嵌入信任证书 #

将导出的证书添加到项目中，针对安卓和iOS分别配置：

安卓端 #

• 将证书文件放到Platforms/Android/Resources/raw目录，确保文件的Build Action设置为AndroidResource。
• 创建Platforms/Android/Resources/xml/network_security_config.xml，配置信任该证书：

  <?xml version="1.0" encoding="utf-8"?>
  <network-security-config>
      <domain-config cleartextTrafficPermitted="false">
          <domain includeSubdomains="true">你的WCF域名</domain>
          <trust-anchors>
              <certificates src="@raw/证书文件名"/> <!-- 无需加.cer后缀 -->
              <certificates src="system"/> <!-- 保留系统信任的证书 -->
          </trust-anchors>
      </domain-config>
  </network-security-config>
  

• 在AndroidManifest.xml的<application>标签中添加配置引用：

  android:networkSecurityConfig="@xml/network_security_config"
  

iOS端 #

• 将证书文件放到Platforms/iOS/Resources目录，设置Build Action为BundleResource。
• 在Info.plist中配置ATS（App Transport Security）例外，允许信任该域名的证书：

  <key>NSAppTransportSecurity</key>
  <dict>
      <key>NSExceptionDomains</key>
      <dict>
          <key>你的WCF域名</key>
          <dict>
              <key>NSIncludesSubdomains</key>
              <true/>
              <key>NSExceptionAllowsInsecureHTTPLoads</key>
              <false/>
              <key>NSExceptionRequiresForwardSecrecy</key>
              <false/>
          </dict>
      </dict>
  </dict>
  

3. 修改自定义证书验证器 #

在你的Validator类中，手动将信任证书添加到证书链的额外存储，确保构建链时能匹配完整路径：

internal class Validator : X509CertificateValidator
{
    public override void Validate(X509Certificate2 certificate)
    {
        if (certificate == null)
        {
            throw new ArgumentNullException("MediApp WebService certificate for validation is NULL!");
        }

        X509Chain chain = new X509Chain();
        // 加载嵌入到项目中的信任证书
        var assembly = typeof(Validator).Assembly;
        using var certStream = assembly.GetManifestResourceStream("MediApp.Maui.Resources.你的证书文件名.cer");
        if (certStream != null)
        {
            byte[] certBytes = new byte[certStream.Length];
            certStream.Read(certBytes, 0, certBytes.Length);
            var trustedCert = new X509Certificate2(certBytes);
            chain.ChainPolicy.ExtraStore.Add(trustedCert);
        }

        // 生产环境建议保留严格验证，仅测试时可临时放宽
        // chain.ChainPolicy.VerificationFlags = X509VerificationFlags.AllowUnknownCertificateAuthority;

        bool chainBuildResult = chain.Build(certificate);

        if (!chainBuildResult)
        {
            if (chain.ChainStatus != null)
            {
                foreach (var singleStatus in chain.ChainStatus)
                {
                    Console.WriteLine($"{singleStatus.Status}: {singleStatus.StatusInformation}");
                }
            }
            throw new Exception("SSL certificate is not valid");
        }
    }
}

4. 注意事项 #

• 生产环境禁止使用AllowUnknownCertificateAuthority等放宽验证的配置，必须使用权威CA颁发的合法证书。
• 确认移动端设备的系统时间正确，证书过期或时间不匹配也会导致链验证失败。

内容的提问来源于stack exchange，提问作者user22801399