验证DLL/EXE真实性：X509Chain.Build()与X509Certificate2.Verify()的区别

二者并非本质相同，核心差异主要体现在以下几点：

• 返回信息的丰富度

  • X509Certificate2.Verify()仅返回布尔值，只能告知验证成功或失败，无法获取具体失败原因（如根CA不被信任、证书过期、吊销状态异常等）。
  • X509Chain.Build()同样返回布尔值，但验证完成后可通过X509Chain.ChainStatus属性获取详细的状态码与错误描述，便于精准定位问题。

• 验证规则的灵活性

  • Verify()是封装好的默认验证逻辑，无法修改验证策略，只能遵循系统默认规则（包括信任链回溯、有效期检查、吊销状态验证等）。
  • X509Chain.Build()支持通过修改X509Chain.ChainPolicy属性自定义验证规则：比如跳过吊销检查、添加自定义信任根CA、调整有效期验证的时间基准、忽略证书名称不匹配等场景，适配性更强。

• 适用场景的区别

  • 若只需快速判断证书是否被系统默认信任，Verify()代码更简洁，足够满足需求。
  • 若需处理复杂验证场景（如离线环境验证、自定义信任体系、排查验证失败原因），则必须使用X509Chain.Build()。

• 底层逻辑关联

  • 实际上X509Certificate2.Verify()内部是调用了X509Chain.Build()的默认验证逻辑，但它封装了链对象的细节，仅对外暴露最终验证结果。

内容的提问来源于stack exchange，提问作者nikegolf05