这种场景我在企业内网环境里踩过坑，防火墙的SSL中间人替换确实会让CRL验证直接失效——毕竟私有CA发的证书大多不会配置公开的CRL分发点。要实现“对私有CA证书网开一面，对其他证书严格检查CRL”的需求，可以试试下面几个思路：

一、自定义HttpClient证书验证回调（推荐） #

这是代码层面最灵活的方式，你可以在回调里精准区分证书来源，针对性调整验证逻辑：

var handler = new HttpClientHandler();
// 注意：这里不要设置CheckCertificateRevocationList = true，我们在回调里自行处理验证逻辑
handler.ServerCertificateCustomValidationCallback = (sender, cert, chain, sslPolicyErrors) =>
{
    // 第一步：排除明显的无效错误（比如证书过期、域名不匹配）
    if (sslPolicyErrors.HasFlag(SslPolicyErrors.RemoteCertificateNameMismatch) ||
        sslPolicyErrors.HasFlag(SslPolicyErrors.RemoteCertificateNotAvailable))
    {
        return false;
    }

    // 第二步：判断证书是否由你的私有CA颁发（替换成你实际的私有CA标识，比如Subject的CN或证书指纹）
    bool isPrivateCACert = chain.ChainElements
        .Any(elem => elem.Certificate.Thumbprint.Equals("你的私有CA证书指纹", StringComparison.OrdinalIgnoreCase));

    if (isPrivateCACert)
    {
        // 对私有CA的证书，只验证基本有效性（时间、链完整性），跳过CRL检查
        return chain.ChainStatus.All(status => 
            status.Status != X509ChainStatusFlags.NotTimeValid &&
            status.Status != X509ChainStatusFlags.InvalidBasicConstraints &&
            status.Status != X509ChainStatusFlags.PartialChain);
    }
    else
    {
        // 对其他证书，严格执行全量验证（包括CRL）
        var chainPolicy = new X509ChainPolicy();
        chainPolicy.RevocationMode = X509RevocationMode.Online;
        chain.ChainPolicy = chainPolicy;
        bool chainIsValid = chain.Build(cert);
        
        return chainIsValid && sslPolicyErrors == SslPolicyErrors.None;
    }
};

var httpClient = new HttpClient(handler);

逻辑说明： #

• 先拦截域名不匹配、证书不存在这类致命错误，避免引入不必要的安全风险；
• 通过证书指纹（比Subject的CN更精准）识别私有CA的证书，确保只放宽信任给你已知的合法证书；
• 私有CA证书只做基础有效性校验，其他证书强制走在线CRL检查，兼顾安全性和兼容性。

二、机器全局配置例外（企业环境适用） #

如果你的应用部署在企业内网的多台机器上，可以通过本地证书存储或组策略统一配置，把私有CA的证书设置为信任根CA，并针对该CA禁用CRL检查：

• 打开「证书管理器」（certmgr.msc），找到你的私有CA证书，右键选择「所有任务」→「管理证书信任设置」；
• 在弹出的窗口中，勾选「对于该证书颁发机构颁发的证书，跳过吊销检查」；
• 这种方式不需要修改代码，是全局生效的，适合企业环境统一管理。

三、关键注意事项 #

• 私有CA的识别逻辑要精准：优先用证书指纹而非Subject名称，防止被仿冒证书绕过验证；
• 不要过度放宽验证：即使是私有CA的证书，也要确保时间有效性和链完整性，不能直接返回true；
• 测试要覆盖双场景：分别测试访问内部站点（私有CA证书）和外部公网站点（公开CA证书），确保两种场景的验证逻辑都符合预期。

内容来源于stack exchange