.NET/C#控制台应用如何查看验证服务器证书的CA证书

首先要明确：你当前代码中的ValidateServerCertificate方法直接返回true，这完全绕过了证书合法性校验，程序并没有实际验证服务器证书的CA信任链，这种做法存在严重安全风险（比如中间人攻击），生产环境绝对不能使用。

如果要在正常的证书验证流程中查看用于校验的根CA证书，可以修改ValidateServerCertificate方法，通过传入的X509Chain对象获取完整信任链，从中识别出根CA：

public static bool ValidateServerCertificate(object sender, X509Certificate? certificate,
X509Chain? chain, SslPolicyErrors sslPolicyErrors)
{
    // 先执行基础校验逻辑（不要直接返回true）
    if (sslPolicyErrors == SslPolicyErrors.None)
    {
        // 校验通过时输出根CA信息
        PrintRootCaFromChain(chain);
        return true;
    }

    // 校验失败时输出链信息用于排查
    Console.WriteLine($"证书校验错误：{sslPolicyErrors}");
    PrintRootCaFromChain(chain);
    
    // 实际场景请根据业务逻辑处理，不要盲目返回true
    return true;
}

private static void PrintRootCaFromChain(X509Chain? chain)
{
    if (chain == null || chain.ChainElements == null)
        return;

    Console.WriteLine("\n证书信任链详情：");
    foreach (var chainElement in chain.ChainElements)
    {
        var cert = chainElement.Certificate;
        Console.WriteLine($"证书主题：{cert.Subject}");
        Console.WriteLine($"颁发者：{cert.Issuer}");
        
        // 根CA的主题和颁发者一致
        if (cert.Subject.Equals(cert.Issuer, StringComparison.OrdinalIgnoreCase))
        {
            Console.WriteLine("=== 根CA证书 ===");
            Console.WriteLine($"序列号：{cert.SerialNumber}");
            Console.WriteLine($"SHA256指纹：{cert.GetCertHashString(System.Security.Cryptography.HashAlgorithmName.SHA256)}");
        }
        Console.WriteLine("------------------------");
    }
}

额外注意事项 #

• 若服务器使用自签名证书，默认情况下SslStream会校验失败，你需要将该证书添加到客户端的系统可信根证书存储，或者在验证回调中针对该证书的指纹做精准校验（依然要避免直接返回true）。
• 永远不要在生产环境中直接返回true跳过证书校验，这会彻底失去TLS的身份验证能力。

内容的提问来源于stack exchange，提问作者bart s