.NET Core在AWS EC2发起HTTPS请求时出现SSL连接错误

针对你遇到的.NET Core应用在EC2实例上发起HTTPS请求时出现的SSL证书验证错误，以下是针对性的排查和解决步骤：

1. 检查EC2实例的系统根证书存储 #

.NET Core依赖操作系统的根证书库完成证书验证，而.NET Framework使用独立的证书存储，这是两者行为差异的核心原因：

• Linux EC2实例：
  执行以下命令安装/更新系统根证书包：

  sudo apt-get update && sudo apt-get install -y ca-certificates
  sudo update-ca-certificates
  

  确保目标API的SSL证书根CA已包含在系统信任列表中。
• Windows EC2实例：
  打开证书管理器，检查「受信任的根证书颁发机构」是否包含目标API证书的根CA，若缺失则手动导入对应的根证书文件。

2. 正确配置.NET Core的证书验证回调 #

你之前尝试的ServicePointManager是.NET Framework的API，在.NET Core中需要针对HttpClientHandler或RestSharp的配置对象设置验证逻辑：

• 原生HttpClient场景：

  var handler = new HttpClientHandler();
  // 仅用于测试环境，生产环境需替换为真实的证书验证逻辑
  handler.ServerCertificateCustomValidationCallback = (sender, cert, chain, sslPolicyErrors) => true;
  var httpClient = new HttpClient(handler);
  

• RestSharp场景：

  var clientOptions = new RestClientOptions("https://your-api-domain")
  {
      // 仅用于测试环境
      RemoteCertificateValidationCallback = (sender, cert, chain, sslPolicyErrors) => true
  };
  var restClient = new RestClient(clientOptions);
  

3. 验证目标API的SSL证书链完整性 #

部分API服务器可能未配置完整的证书链（缺少中间证书），.NET Framework会自动补充中间证书，但.NET Core不会。可在EC2实例上执行以下命令检查：

openssl s_client -connect your-api-domain:443

查看输出中的证书链信息，若存在「unable to get local issuer certificate」等提示，需联系API服务方配置完整的证书链文件。

4. 配置.NET Core的SSL证书环境变量 #

针对Linux EC2实例，可通过环境变量指定证书存储路径：

# 临时生效，如需永久生效可写入/etc/profile或服务启动脚本
export SSL_CERT_FILE=/etc/ssl/certs/ca-certificates.crt
export SSL_CERT_DIR=/etc/ssl/certs

5. 更新.NET Core 3.1到最新补丁版本 #

.NET Core 3.1.31可能存在已知的SSL验证bug，更新至同分支的最新补丁版本（如3.1.32及以上）可修复部分兼容性问题。

内容的提问来源于stack exchange，提问作者Ak777