.NET Core Lambda调用第三方API遇UntrustedRoot证书链错误求助

• 确认证书链完整性
  检查Lambda Layer中的证书是否包含完整信任链：必须涵盖第三方API的服务器证书、中间CA证书和根CA证书。仅放置服务器证书会导致链不完整，.NET Core无法验证到受信根。将所有链上证书合并为一个PEM文件，顺序为服务器证书在前，中间CA次之，根CA最后。

• 验证SSL_CERT_FILE路径与代码适配
  Lambda Layer挂载路径以/opt开头，比如证书放在Layer的certificates目录，实际路径应为/opt/certificates/your-cert-chain.pem。注意.NET Core在Lambda环境下不会自动读取该环境变量，需在代码中手动指定：

  var certPath = Environment.GetEnvironmentVariable("SSL_CERT_FILE");
  var handler = new HttpClientHandler();
  handler.ServerCertificateCustomValidationCallback = (sender, cert, chain, sslPolicyErrors) =>
  {
      var trustedCert = new X509Certificate2(certPath);
      var chainBuilder = new X509Chain();
      chainBuilder.ChainPolicy.ExtraStore.Add(trustedCert);
      chainBuilder.ChainPolicy.VerificationFlags = X509VerificationFlags.NoFlag;
      return chainBuilder.Build(new X509Certificate2(cert));
  };
  var client = new HttpClient(handler);
  

• 排查证书文件读取有效性
  在Lambda代码中添加日志，确认证书文件存在且内容完整：

  var certPath = Environment.GetEnvironmentVariable("SSL_CERT_FILE");
  Console.WriteLine($"证书路径: {certPath}");
  Console.WriteLine($"文件是否存在: {File.Exists(certPath)}");
  if (File.Exists(certPath))
  {
      var certContentLength = File.ReadAllText(certPath).Length;
      Console.WriteLine($"证书内容长度: {certContentLength}");
  }
  

  通过CloudWatch日志验证文件读取状态，排除权限或路径错误。

• 适配.NET Core版本的证书信任机制
  部分.NET Core版本（如.NET 6+）在Lambda环境下需显式配置证书信任，可将证书添加到临时信任存储：

  using var store = new X509Store(StoreName.Root, StoreLocation.CurrentUser);
  store.Open(OpenFlags.ReadWrite);
  var cert = new X509Certificate2(certPath);
  store.Add(cert);
  store.Close();
  

  Lambda无状态，每次执行需重新加载，但此方式能确保.NET Core验证机制识别根CA。

• 排除密钥轮换流程干扰
  临时跳过密钥轮换逻辑，直接使用本地测试通过的完整证书链，验证API调用是否正常。以此确认轮换流程是否同步了不完整的证书到S3桶，导致Lambda获取的证书链缺失。

内容的提问来源于stack exchange，提问作者LearningPal