ASP.NET Core SocketException(10048)：单例HttpClient如何传递客户端证书？

问题根源 #

你碰到的System.Net.Sockets.SocketException(10048)错误，本质是频繁创建HttpClient实例导致TCP连接耗尽——每次新建HttpClient都会开启新的TCP连接，关闭后连接会进入TIME_WAIT状态暂时占用端口，高并发下就会出现端口被占满的情况。常规的单例HttpClient方案因为证书只能在构造阶段绑定，无法适配多用户/多证书场景，所以需要实现单请求级别动态添加证书的能力。

解决方案 #

1. 直接在请求消息中动态设置证书（.NET Core 3.0+ / .NET 5+） #

从.NET Core 3.0开始，SocketsHttpHandler支持通过HttpRequestMessage的Options属性，为单个请求单独指定客户端证书，完美适配复用HttpClient的场景。

示例代码：

// 全局复用的HttpClient（建议通过DI注册为单例）
private static readonly HttpClient _sharedHttpClient = new HttpClient();

public async Task<HttpResponseMessage> SendRequestWithDynamicCert(string apiUrl, X509Certificate2 clientCertificate, string userAccessToken)
{
    using var request = new HttpRequestMessage(HttpMethod.Post, apiUrl);
    
    // 为当前请求手动指定证书
    request.Options.Set(SocketsHttpHandler.ClientCertificateOption, ClientCertificateOption.Manual);
    request.Options.Set(SocketsHttpHandler.ClientCertificates, new X509CertificateCollection { clientCertificate });
    
    // 附带用户凭证
    request.Headers.Authorization = new AuthenticationHeaderValue("Bearer", userAccessToken);
    
    return await _sharedHttpClient.SendAsync(request);
}

2. 自定义消息处理器统一注入证书 #

如果需要从用户上下文（比如ASP.NET Core的HttpContext）自动获取证书，可以自定义DelegatingHandler，在请求发送前动态绑定证书：

public class DynamicClientCertificateHandler : DelegatingHandler
{
    private readonly IHttpContextAccessor _httpContextAccessor;

    public DynamicClientCertificateHandler(IHttpContextAccessor httpContextAccessor)
    {
        _httpContextAccessor = httpContextAccessor;
    }

    protected override async Task<HttpResponseMessage> SendAsync(HttpRequestMessage request, CancellationToken cancellationToken)
    {
        // 从当前请求上下文获取用户对应的证书（示例：存放在HttpContext.Items中）
        var userCert = _httpContextAccessor.HttpContext?.Items["CurrentUserClientCert"] as X509Certificate2;
        if (userCert != null)
        {
            request.Options.Set(SocketsHttpHandler.ClientCertificateOption, ClientCertificateOption.Manual);
            request.Options.Set(SocketsHttpHandler.ClientCertificates, new X509CertificateCollection { userCert });
        }

        return await base.SendAsync(request, cancellationToken);
    }
}

然后在DI容器中注册：

services.AddHttpContextAccessor();
services.AddHttpClient("ApiClient")
    .AddHttpMessageHandler<DynamicClientCertificateHandler>();

关键注意事项 #

• 证书管理：X509Certificate2对象要注意内存泄漏，建议复用证书实例（比如缓存已加载的证书），不要每次请求都重新加载。
• DNS缓存问题：复用HttpClient会导致DNS缓存长期有效，如果目标API的IP会变化，需要设置连接池生命周期：

  var handler = new SocketsHttpHandler
  {
      PooledConnectionLifetime = TimeSpan.FromMinutes(5) // 每5分钟刷新连接池
  };
  var httpClient = new HttpClient(handler);
  

• .NET Framework兼容：如果仍在使用.NET Framework，上述SocketsHttpHandler的选项方式不适用，此时可以为不同证书维护一个HttpClientHandler池（每个证书对应一个Handler，复用关联的HttpClient），但要注意控制池的大小避免资源浪费。

内容的提问来源于stack exchange，提问作者JPortillo