SMTP发送邮件时DNS名称不符引发数字签名错误的解决咨询

看起来你碰到了SMTP证书验证的典型坑——明明代码里配置的是mail.in.xyz.com，但系统却自动匹配了in.xyz.com的自签名证书，导致域名不匹配报错。核心原因是你的SMTP服务器返回的证书域名和你指定的主机名不一致，而自签名证书本身就不受系统默认信任，双重因素触发了错误。下面给你几个可行的解决方案，按生产环境适配度排序：

1. 将自签名证书加入系统信任根库（推荐生产环境） #

这是最安全合规的做法，让系统认可in.xyz.com的自签名证书：

• 获取in.xyz.com的证书文件：可以联系邮件服务器管理员索要，或者用浏览器访问https://mail.in.xyz.com，查看站点证书并导出为.cer格式
• 打开Windows证书管理器：按下Win+R输入certmgr.msc回车
• 导航到「受信任的根证书颁发机构」→「证书」，右键选择「所有任务」→「导入」
• 按照向导完成证书导入，导入后系统会信任该证书，即使域名和主机名存在层级差异（如果能让管理员重新生成包含mail.in.xyz.com作为SAN（主题备用名称）的证书，会更规范）

2. 自定义证书验证回调（适合测试/临时场景） #

如果是测试环境或者暂时无法修改证书，可以通过重写验证逻辑跳过域名匹配检查，但注意生产环境请勿直接禁用所有验证：
在创建SmtpClient实例后，添加以下代码：

// 自定义证书验证逻辑
ServicePointManager.ServerCertificateValidationCallback = (sender, certificate, chain, sslPolicyErrors) =>
{
    // 仅信任主题为in.xyz.com的证书，避免完全禁用验证
    if (sslPolicyErrors == SslPolicyErrors.None) return true;
    return certificate.Subject.Contains("CN=in.xyz.com");
};

⚠️ 提示：如果直接返回true会彻底关闭证书验证，存在中间人攻击风险，务必添加针对性的校验逻辑。

3. 检查SMTP服务器配置 #

联系邮件服务器管理员确认两个关键点：

• 服务器绑定的SSL证书是否包含mail.in.xyz.com作为SAN字段（正规证书应该覆盖所有子域名）
• SMTP服务是否正确关联了对应子域名的证书，而非默认返回根域名证书

你也可以细化验证逻辑，检查证书的DNS名称列表：

ServicePointManager.ServerCertificateValidationCallback = (sender, cert, chain, errors) =>
{
    if (errors == SslPolicyErrors.None) return true;
    // 检查证书的备用DNS名称是否匹配目标服务器
    var sanExtension = cert.Extensions.OfType<X509SubjectAlternativeNameExtension>().FirstOrDefault();
    if (sanExtension != null)
    {
        var dnsNames = sanExtension.DnsNames;
        return dnsNames.Contains("mail.in.xyz.com") || dnsNames.Contains("in.xyz.com");
    }
    // 兜底检查证书主题
    return cert.Subject.Equals("CN=in.xyz.com", StringComparison.OrdinalIgnoreCase);
};

内容的提问来源于stack exchange，提问作者Anup