.Net 6 HttpClient未访问CRL/OCSP却通过证书验证的原因咨询

一、默认证书验证的核心检查项 #

HttpClient 默认会执行以下关键安全校验：

• 服务器证书处于有效期内（同时校验起始和结束时间）
• 证书的信任链完整，且根CA存在于Windows信任根证书存储中
• 证书的主题名称(CN) 或SAN扩展字段与请求的目标域名匹配
• 证书的用途符合TLS服务器身份验证的要求

二、吊销验证未触发阻断的原因 #

在Windows Server 2016环境中，HttpClient依赖系统自带的Schannel安全组件完成证书验证，吊销检查的行为由系统配置而非.NET框架直接控制：

• 系统默认采用**“软失败”**策略：当无法连接CRL或OCSP端点获取吊销信息时，不会直接拒绝连接，而是允许会话继续建立
• 只有通过组策略（路径：计算机配置>Windows设置>安全设置>公钥策略>证书路径验证设置）明确启用“要求吊销检查”，并设置“如果吊销服务器不可用则拒绝证书”，才会在无法获取吊销信息时阻断连接

三、官方文档的明确说明 #

.NET官方文档指出，HttpClient的默认证书验证逻辑完全委托给操作系统的TLS栈：

• Windows平台下严格遵循Schannel的验证规则，包括信任链构建、有效期校验、域名匹配，以及由系统策略决定的吊销检查行为
• 若需实现强制严格的吊销检查，可通过修改系统组策略，或在代码中自定义ServerCertificateValidationCallback方法，手动完成吊销信息的校验

内容的提问来源于stack exchange，提问作者Matt