.NET下HttpClient mTLS配置遇Win32Exception证书信任异常

问题描述 #

我在尝试临时跳过SSL验证时遇到问题，测试通信代码如下：

static void Main()
{
    var stringToSend = "Hello World!";
    var handler = new HttpClientHandler();
    handler.ClientCertificateOptions = ClientCertificateOption.Manual;
    var clientCertPKandChain = new X509Certificate2("client-cert.pfx");

    handler.ClientCertificates.Add(clientCertPKandChain);
    handler.ServerCertificateCustomValidationCallback = (message, cert, chain, errors) =>
    {
        var certErrors = errors;
        if (certErrors != SslPolicyErrors.None)
        {
            return false;
        }

        return true;
    };
    try
    {
        HttpContent content = new StringContent(stringToSend.ToString());
        HttpClient httpClient = new HttpClient(handler);
        HttpResponseMessage response1 = httpClient.PostAsync("somehost", content).Result;
    }
    catch (Exception ex)
    {
       
    }
}

执行后仍抛出Win32Exception: The certificate chain was issued by an authority that is not trusted异常。已尝试多种方案，Linux下用OpenSSL可正常握手，但在.NET 7.0、.NET Framework 4.7.2、.NET 6.0、.NET 5.0及Linux Rider环境中均未解决。

核心原因与修复 #

你的服务器证书验证回调逻辑完全写反了：当前代码是证书有错误时拒绝验证，无错误时通过，根本没实现跳过验证的需求。要跳过服务器证书验证，只需让回调始终返回true即可。

修改后的回调代码：

handler.ServerCertificateCustomValidationCallback = (message, cert, chain, errors) => true;

额外注意事项 #

• .NET Framework 特殊配置：检查应用配置文件，确保<system.net>下没有强制开启严格验证的设置：

  <system.net>
    <settings>
      <!-- 若存在此配置，需设为false或移除 -->
      <sslStrictValidation enabled="false" />
    </settings>
  </system.net>
  

• 客户端证书加载问题：如果PFX证书有密码，加载时必须指定，否则可能引发链信任异常：

  var clientCertPKandChain = new X509Certificate2("client-cert.pfx", "your-pfx-password");
  

• Linux环境适配：部分.NET版本默认使用SocketsHttpHandler，若回调不生效，可设置环境变量强制使用HttpClientHandler：

  export DOTNET_SYSTEM_NET_HTTP_USESOCKETSHTTPHANDLER=0
  

内容的提问来源于stack exchange，提问作者Rafal91