.NET中如何记录mTLS的SSL握手信息？有无Java等效方案？

在.NET中，你可以通过以下几种方式实现类似Java javax.net.debug=ssl:handshake的mTLS握手日志记录，分不同.NET版本场景说明：

1. .NET Framework（4.x及以下） #

方式一：通过配置文件开启 #

在应用的App.config或Web.config中添加诊断配置，将SSL握手（含mTLS证书交换、验证）的详细日志输出到指定文件：

<configuration>
  <system.diagnostics>
    <sources>
      <!-- 启用网络、套接字、安全模块的日志 -->
      <source name="System.Net" tracemode="protocolonly" maxdatasize="1024">
        <listeners><add name="System.Net"/></listeners>
      </source>
      <source name="System.Net.Sockets">
        <listeners><add name="System.Net"/></listeners>
      </source>
      <source name="System.Net.Security">
        <listeners><add name="System.Net"/></listeners>
      </source>
    </sources>
    <sharedListeners>
      <!-- 指定日志输出文件 -->
      <add name="System.Net"
           type="System.Diagnostics.TextWriterTraceListener"
           initializeData="mtls_handshake.log" />
    </sharedListeners>
    <switches>
      <!-- 设置日志级别为详细 -->
      <add name="System.Net" value="Verbose"/>
      <add name="System.Net.Sockets" value="Verbose"/>
      <add name="System.Net.Security" value="Verbose"/>
    </switches>
  </system.diagnostics>
</configuration>

方式二：通过环境变量开启 #

设置以下环境变量后启动应用，日志会自动生成：

• COMPLUS_System_Net_LogLevel=4（4对应Verbose级别）
• COMPLUS_System_Net_DumpFile=mtls_handshake.log（指定日志文件路径）

2. .NET Core/.NET 5+（跨平台版本） #

方式一：环境变量快速开启 #

设置一组环境变量即可启用SSL跟踪，无需修改代码：

# Windows命令行
set DOTNET_SYSTEM_NET_SECURITY_LOGLEVEL=Verbose
set DOTNET_LOG_FILE=mtls_handshake.log
set DOTNET_LOGGING_DESTINATION=File
dotnet your-app.dll

# Linux/macOS终端
export DOTNET_SYSTEM_NET_SECURITY_LOGLEVEL=Verbose
export DOTNET_LOG_FILE=mtls_handshake.log
export DOTNET_LOGGING_DESTINATION=File
dotnet your-app.dll

其中DOTNET_SYSTEM_NET_SECURITY_LOGLEVEL=Verbose会输出mTLS握手的核心细节，包括客户端证书请求、证书验证、握手消息交换等内容。

方式二：代码中配置日志（灵活定制） #

通过Microsoft.Extensions.Logging框架自定义日志输出，适合需要在代码中动态控制的场景：

using Microsoft.Extensions.Logging;

// 创建日志工厂，指定输出到文件和控制台
var loggerFactory = LoggerFactory.Create(builder =>
{
    builder.AddConsole()
           .AddFile("mtls_handshake.log") // 需要引入NuGet包：Microsoft.Extensions.Logging.File
           .SetMinimumLevel(LogLevel.Debug)
           // 针对SSL安全模块开启Trace级别的日志
           .AddFilter("System.Net.Security", LogLevel.Trace);
});

// 给HttpClient关联日志工厂，记录请求的mTLS握手细节
var httpClient = new HttpClient(new HttpClientHandler
{
    ClientCertificateOptions = ClientCertificateOption.Manual,
    SslProtocols = System.Security.Authentication.SslProtocols.Tls12 | System.Security.Authentication.SslProtocols.Tls13
})
{
    LoggerFactory = loggerFactory
};

3. 补充：底层包分析工具 #

如果需要更直观的握手流程可视化，可使用Wireshark抓包，过滤tls协议，能看到完整的mTLS握手包交互（包括客户端证书请求、证书发送等关键步骤），和日志配合使用可定位更复杂的问题。

内容的提问来源于stack exchange，提问作者Anas