如何让C#客户端信任自签名证书？

核心原因：自定义验证回调覆盖了系统默认逻辑 #

只要代码中注册了ServicePointManager.ServerCertificateValidationCallback，.NET就会跳过系统默认的证书链信任验证流程，完全由你提供的回调函数决定是否通过验证——哪怕证书已经被安装到受信任的根存储里也没用。这是设计上的优先级：自定义回调的优先级高于系统内置的证书信任机制。

其他可能的次要原因 #

• 证书安装位置或权限问题：
  • 若将证书装到「当前用户」的受信任根存储，但客户端程序是以其他身份运行的（比如Windows服务、IIS应用池账户），程序会读取「本地机器」的证书存储，看不到当前用户的证书。
  • 安装到「本地机器」存储需要管理员权限，普通用户安装可能会静默失败，证书实际没被写入存储。
• 证书属性不匹配：
  自签名证书的**主体名称（Subject）或SAN扩展（Subject Alternative Name）**必须和访问服务器时用的域名/IP完全一致，否则即使证书被信任，系统默认验证也会因为名称不匹配而失败——这时候用回调返回true能绕过，但系统原生验证过不了。
• .NET版本或配置差异：
  部分旧版.NET Framework对证书链验证的逻辑有差异，比如默认启用吊销检查，如果自签名证书没有吊销信息，系统验证会失败；或者某些应用配置（比如app.config里的<system.net>设置）修改了默认验证行为。

解决方法 #

1. 恢复系统默认验证（移除或调整回调）
   若想依赖Windows证书存储的信任机制，要么直接删除ServicePointManager.ServerCertificateValidationCallback的赋值代码；要么在回调里先调用系统默认的验证逻辑，再补充自定义逻辑：

   ServicePointManager.ServerCertificateValidationCallback = (sender, cert, chain, sslPolicyErrors) => {
       // 调用系统默认证书链验证
       using var chainValidator = new X509Chain();
       // 自签名证书可关闭吊销检查（根据需求调整）
       chainValidator.ChainPolicy.RevocationMode = X509RevocationMode.NoCheck;
       bool isSystemTrusted = chainValidator.Build((X509Certificate2)cert);
       
       // 系统验证通过且无SSL策略错误则直接放行
       if (isSystemTrusted && sslPolicyErrors == SslPolicyErrors.None)
           return true;
       
       // 这里补充你的白名单或自定义验证逻辑
       return false;
   };
   

2. 确认证书安装正确

   • 用certlm.msc（本地机器存储，需管理员）或certmgr.msc（当前用户存储）检查：自签名证书确实在「受信任的根证书颁发机构」目录下，且有效期未过期。
   • 查看证书的「详细信息」，确认「主题备用名称」或「主题」字段包含访问服务器时使用的域名/IP。

3. 匹配程序运行身份与证书存储
   如果客户端是服务或IIS应用，将证书安装到「本地机器」的受信任根存储，并确保程序的运行账户有权限读取该证书（通常默认权限足够，特殊情况可调整证书的权限）。

内容的提问来源于stack exchange，提问作者Spiky05