使用HttpClient调用微服务失败：Windows服务下SSL证书验证异常

问题根源 #

Windows服务默认以Local System账户运行，这个账户的证书信任存储和你开发时用的当前用户账户完全独立。本地开发用的自签名HTTPS证书（比如Kestrel或IIS Express生成的localhost证书）只被当前用户信任，没被服务账户的系统级信任根库收录，所以触发了证书验证失败。

可行解决方案 #

1. 把自签名证书导入计算机级信任根库 #

• 运行certlm.msc打开管理计算机证书
• 在个人>证书里找到localhost主题的证书，右键选择「所有任务>导出」，按提示导出为.pfx格式（可选择导出私钥）
• 切换到信任根证书颁发机构>证书，右键选择「所有任务>导入」，把刚才导出的证书导入到这个库

2. 开发环境临时跳过证书验证（生产禁用） #

如果只是调试阶段，可以给HttpClient配置跳过证书校验，但绝对不能用于生产：

// 在初始化NSwag生成的客户端时添加
var handler = new HttpClientHandler
{
    ServerCertificateCustomValidationCallback = (_, __, ___, ____) => true
};
var httpClient = new HttpClient(handler);
var microServiceClient = new YourGeneratedClient(httpClient, "https://localhost:xxxx");

3. 让Windows服务用已信任证书的用户账户运行 #

• 打开服务管理器，找到你的Windows服务
• 右键选「属性>登录」，切换到「此账户」，输入你开发时用的用户账号（该账号已信任本地证书），填好密码后保存
• 重启服务再测试调用

4. 检查微服务的Kestrel证书配置 #

如果微服务用Kestrel托管，确保证书配置指向计算机级存储：

// appsettings.json 示例配置
"Kestrel": {
  "Endpoints": {
    "Https": {
      "Url": "https://localhost:5001",
      "Certificate": {
        "Store": "My",
        "Location": "LocalMachine",
        "Subject": "localhost",
        "AllowInvalid": false
      }
    }
  }
}

内容的提问来源于stack exchange，提问作者Ask