Net7 MAUI Android中HttpClient自签名证书验证回调失效求助

针对你迁移MAUI后遇到的ServerCertificateCustomValidationCallback不触发、SSL错误的问题，结合你已经设置<UseNativeHttpHandler>false</UseNativeHttpHandler>的前提，可按以下步骤解决：

1. 正确配置HttpClientHandler的证书验证回调 #

因为禁用了NativeHttpHandler，当前使用的是HttpClientHandler，需要显式创建Handler实例并设置回调，再传入HttpClient：

// 创建自定义Handler
var handler = new HttpClientHandler();
handler.ServerCertificateCustomValidationCallback = (sender, cert, chain, sslPolicyErrors) =>
{
    // 生产环境务必添加严格的验证逻辑，示例仅作参考
    if (sslPolicyErrors == SslPolicyErrors.None)
        return true;

    // 示例：验证目标证书的指纹（替换为你的自签名证书指纹）
    var trustedThumbprint = "ABC123DEF456...";
    return string.Equals(cert.Thumbprint, trustedThumbprint, StringComparison.OrdinalIgnoreCase);
};

// 初始化HttpClient时传入自定义Handler
var httpClient = new HttpClient(handler);

2. 配置Android网络安全策略 #

Android 9（API 28）及以上默认会拦截未通过系统信任的HTTPS请求，即使你设置了回调，请求可能在到达.NET层之前就被系统拦截，因此需要添加网络安全配置：

步骤2.1 创建网络安全配置文件 #

在Platforms/Android/Resources/xml目录下新建network_security_config.xml（若xml目录不存在则创建），内容如下：

<?xml version="1.0" encoding="utf-8"?>
<network-security-config>
    <!-- 全局配置：信任系统证书+自定义证书 -->
    <base-config cleartextTrafficPermitted="false">
        <trust-anchors>
            <certificates src="system" />
            <certificates src="@raw/your_self_signed_cert" />
        </trust-anchors>
    </base-config>
    <!-- 可选：针对特定域名单独配置（更安全） -->
    <domain-config cleartextTrafficPermitted="false">
        <domain includeSubdomains="true">your-webdav-server.com</domain>
        <trust-anchors>
            <certificates src="@raw/your_self_signed_cert" />
        </trust-anchors>
    </domain-config>
</network-security-config>

步骤2.2 添加自签名证书到资源 #

将你的自签名证书（.crt格式）复制到Platforms/Android/Resources/raw目录（若raw目录不存在则创建），命名为your_self_signed_cert.crt（需和xml配置中的名称一致）。

步骤2.3 关联配置到AndroidManifest #

打开Platforms/Android/AndroidManifest.xml，在<application>标签中添加网络安全配置属性：

<application android:networkSecurityConfig="@xml/network_security_config" ...>
    <!-- 其他原有配置 -->
</application>

3. 使用IHttpClientFactory的注意事项 #

如果项目中使用IHttpClientFactory管理HttpClient，需要在注册时配置自定义Handler：

builder.Services.AddHttpClient("WebDAVClient")
    .ConfigurePrimaryHttpMessageHandler(() =>
    {
        var handler = new HttpClientHandler();
        handler.ServerCertificateCustomValidationCallback = (sender, cert, chain, sslPolicyErrors) =>
        {
            // 此处添加你的验证逻辑
            return true; // 仅测试环境使用，生产需严格验证
        };
        return handler;
    });

关键说明 #

之前回调未触发的核心原因是：Android系统的网络安全策略优先拦截了未信任的HTTPS请求，导致请求无法到达.NET层的回调逻辑。必须同时配置.NET层的回调和Android系统的网络安全配置，才能让自签名证书的请求正常通过。

内容的提问来源于stack exchange，提问作者Matze