.NET控制台应用WebDAV证书验证禁用异常问题排查及解决咨询

问题背景 #

基于.NET 4.8、.NET 6框架开发的控制台应用，通过webdav.Client分别连接外网（有互联网权限）和内网（无互联网权限）的云服务。外网环境运行正常，但内网环境中，由于云服务证书为外网域名签发，需禁用证书验证。当前实现的禁用逻辑时而有效时而失效：有效时会执行到证书验证回调的return true行，失效时程序卡顿，重启应用也无法解决；但在浏览器中手动信任该站点后，可正常访问云服务。

问题原因分析 #

1. 证书验证回调未被触发：
   .NET在某些场景下（如证书链完全不可信、系统层面的证书验证拦截）会直接跳过HttpClientHandler.ServerCertificateCustomValidationCallback回调，进入证书链验证的超时等待状态，导致程序卡顿。内网环境的防火墙、代理可能会修改证书，进一步干扰回调触发。
2. HttpClient实例管理不当：
   每次调用getClient都新建HttpClient实例，可能导致连接池耗尽，引发请求卡顿，尤其是在内网网络环境较差的情况下。
3. 版本差异导致的逻辑不一致：
   .NET 4.8和.NET 6的HTTP客户端底层实现不同（.NET 6默认使用SocketsHttpHandler，.NET 4.8使用HttpClientHandler），统一使用HttpClientHandler可能在.NET 6中无法覆盖所有证书验证场景。

替代的证书验证禁用方法 #

1. 全局证书验证回调（适用于.NET 4.8） #

通过ServicePointManager设置全局回调，确保所有HTTPS请求都跳过证书验证：

// 在应用启动时执行一次即可
ServicePointManager.ServerCertificateValidationCallback += (sender, certificate, chain, sslPolicyErrors) => true;

2. 使用SocketsHttpHandler（适用于.NET 6+） #

.NET 6及以上版本默认使用SocketsHttpHandler作为HTTP客户端底层，直接设置其SSL验证回调更可靠：

SocketsHttpHandler handler = new SocketsHttpHandler();
handler.SslOptions.RemoteCertificateValidationCallback = (sender, cert, chain, errors) => true;

3. 导入证书到系统信任存储（非代码方案） #

如果内网环境允许，将云服务的证书导出后，导入到内网机器的受信任的根证书颁发机构，从系统层面信任证书，无需代码修改。

修复方案 #

1. 版本适配的客户端实现 #

针对.NET 4.8和.NET 6分别适配证书验证逻辑，并复用HttpClient实例避免连接池问题：

private static HttpClient _sharedHttpClient;
private static WebDavClient _sharedWebDavClient;

private static WebDavClient GetClient()
{
    if (_sharedWebDavClient != null)
        return _sharedWebDavClient;

    string nextCloudAddr = Intranet ? "https://drive.domen0.ru" : "https://drive.domen1.ru";
    HttpClientHandler handler;

    // 根据.NET版本选择对应的Handler
    if (Environment.Version.Major >= 6)
    {
        SocketsHttpHandler socketsHandler = new SocketsHttpHandler();
        socketsHandler.SslOptions.RemoteCertificateValidationCallback = (_, _, _, _) => true;
        handler = socketsHandler;
    }
    else
    {
        // .NET 4.8使用HttpClientHandler，同时设置全局回调兜底
        ServicePointManager.ServerCertificateValidationCallback += (_, _, _, _) => true;
        handler = new HttpClientHandler();
        handler.ServerCertificateCustomValidationCallback = (_, _, _, _) => true;
    }

    handler.UseDefaultCredentials = false;
    handler.Credentials = new NetworkCredential(login, passw);

    _sharedHttpClient = new HttpClient(handler)
    {
        BaseAddress = new Uri(nextCloudAddr + "/remote.php/dav/files/логин/replicator/toIntranet/MyEvents/")
    };
    _sharedWebDavClient = new WebDavClient(_sharedHttpClient);
    return _sharedWebDavClient;
}

2. 排查内网环境干扰 #

• 检查内网是否存在代理或防火墙拦截HTTPS请求，是否修改了云服务证书（如中间人证书），这类情况会导致证书验证回调无法触发。
• 确认Intranet变量的判断逻辑正确，避免误切换到外网地址。

3. 优先选择系统信任证书方案 #

如果内网安全策略允许，将云服务证书导入系统信任存储，这是最稳定且安全的方案，无需代码禁用证书验证，也不会出现卡顿问题。

内容的提问来源于stack exchange，提问作者А.Терентьев