如何让SSLStreams基于指定路径证书验证而非Windows密钥库？

使用SslStream的AuthenticateAsClient方法时，RemoteCertificateValidationCallback函数会检查服务器证书的公钥是否存在于Windows密钥库的“受信任的根证书颁发机构”中，若不存在则会更新SslPolicyErrors。请问能否让SslStream基于指定目录中的公钥来验证服务器证书，而非依赖Windows密钥库？

完全可以实现，核心是自定义RemoteCertificateValidationCallback回调函数，跳过系统密钥库的默认验证逻辑，改用指定目录里的公钥或证书完成校验，具体操作如下：

• 加载指定目录的可信证书
  预先将需要信任的服务器证书（如.cer格式的公钥证书文件）放在指定目录，程序启动时遍历目录加载所有证书，存入X509Certificate2Collection集合备用。

• 实现自定义证书验证回调
  创建SslStream时，传入自定义的验证回调函数，在函数内完成以下逻辑：

  1. 获取服务器返回的证书
  2. 提取证书的哈希或公钥信息
  3. 与本地加载的可信证书逐一比对，匹配成功则返回验证通过，否则返回失败

• 示例代码

  // 加载指定目录下的可信证书
  var trustedCertificates = new X509Certificate2Collection();
  foreach (var certFilePath in Directory.GetFiles(@"D:\TrustedServerCerts", "*.cer"))
  {
      trustedCertificates.Add(new X509Certificate2(certFilePath));
  }
  
  // 初始化SslStream并设置自定义验证回调
  using var sslStream = new SslStream(
      new NetworkStream(clientSocket),
      leaveInnerStreamOpen: false,
      validationCallback: (sender, receivedCert, certChain, policyErrors) =>
      {
          if (receivedCert == null)
              return false;
  
          var serverCertificate = new X509Certificate2(receivedCert);
  
          // 方式1：对比证书哈希值
          foreach (var trustedCert in trustedCertificates)
          {
              if (string.Equals(serverCertificate.Thumbprint, trustedCert.Thumbprint, StringComparison.OrdinalIgnoreCase))
              {
                  return true;
              }
          }
  
          // 方式2：直接对比公钥内容
          // foreach (var trustedCert in trustedCertificates)
          // {
          //     if (serverCertificate.PublicKey.EncodedKeyValue.Equals(trustedCert.PublicKey.EncodedKeyValue))
          //     {
          //         return true;
          //     }
          // }
  
          return false;
      });
  
  // 执行SSL客户端认证
  sslStream.AuthenticateAsClient("example.com");
  

• 关键注意点

  • 务必保证指定目录内的证书是经过验证的可信证书，防止引入安全漏洞
  • 对比证书哈希的方式更高效，而对比公钥的方式适用于证书更新但公钥未变的场景
  • 如果需要验证完整证书链（而非单张证书），可以扩展逻辑，检查服务器证书链是否能被本地可信证书签发

内容的提问来源于stack exchange，提问作者subbaraoc