ASP.NET Core 7部署IIS无托管代码池后SSL连接建立失败求助

问题根源 #

部署后出现UntrustedRoot错误，核心原因是IIS服务器未信任API所用SSL证书的根证书——Visual Studio运行时会自动信任开发环境生成的证书，因此本地调试正常，但部署到IIS后，系统无法验证证书的合法性。

具体解决步骤 #

1. 信任自签名证书（开发/测试环境） #

如果API使用的是自签名证书：

• 导出API的SSL证书（可导出为包含公钥的.cer文件，或带私钥的.pfx文件）
• 在部署UI和API的IIS服务器上，打开「证书管理器」，将证书导入到本地计算机 → 受信任的根证书颁发机构存储区
• 注意：必须选择「本地计算机」而非「当前用户」，确保IIS应用池账户能访问到证书

2. 临时跳过证书验证（仅测试用） #

仅限测试环境临时排查问题，生产环境绝对禁止使用：
在UI项目的Program.cs中配置HttpClient时，添加证书验证回调：

builder.Services.AddHttpClient("ApiClient", client =>
{
    client.BaseAddress = new Uri("https://你的API地址/");
})
.ConfigurePrimaryHttpMessageHandler(() => new HttpClientHandler
{
    ServerCertificateCustomValidationCallback = (sender, cert, chain, sslPolicyErrors) => true
});

3. 使用CA颁发的可信证书（生产环境） #

• 从正规CA机构（如Let's Encrypt、DigiCert等）申请SSL证书
• 将证书部署到IIS的API站点，这类证书的根证书已被操作系统默认信任，UI调用时不会出现证书链错误

4. 检查应用池权限 #

• 确认IIS「无托管代码」应用池的账户对证书存储区有读取权限
• 操作路径：证书管理器中右键目标证书 → 所有任务 → 管理私钥 → 添加应用池账户（格式为IIS AppPool\你的应用池名称），并赋予读取权限

错误信息原文：
The SSL connection could not be established, see inner exception
System.Security.Authentication.AuthenticationException: The remote certificate is invalid because of errors in the certificate chain: UntrustedRoot at System.Net.Security.SslStream.CompleteHandshake(SslAuthenticationOptions sslAuthenticationOptions) at System.Net.Security.SslStream.ForceAuthenticationAsync[TIOAdapter](Boolean receiveFirst, Byte[] reAuthenticationData, CancellationToken cancellationToken) at System.Net.Http.ConnectHelper.EstablishSslConnectionAsync(SslClientAuthenticationOptions sslOptions, HttpRequestMessage request, Boolean async, Stream stream, CancellationToken cancellationToken)

内容的提问来源于stack exchange，提问作者IntelligentCancer