.NET 6中RemoteCertificateValidationCallback拒证问题排查与安全适配

测试场景与问题描述 #

我编写了一个简单的.NET 6控制台程序作为测试用例：

using System.Net.Security;
using System.Security.Cryptography.X509Certificates;

namespace CheckCert
{
    internal class Program
    {
        public const string jsonUrl = "https://wordsbyfarber.com/de/top-5";

        static void Main(string[] args)
        {
            Console.WriteLine($"jsonUrl = {jsonUrl}");
            HttpClientHandler handler = new()
            {
                ServerCertificateCustomValidationCallback = BackendCaValidation,
                CheckCertificateRevocationList = true,
            };
            HttpClient httpClient = new(handler);
            string jsonStr = httpClient.GetStringAsync(new Uri(jsonUrl)).Result;
            Console.WriteLine($"jsonStr = {jsonStr}");
        }

        private static bool BackendCaValidation(HttpRequestMessage message, 
                                                X509Certificate2? certificate, 
                                                X509Chain? chain, 
                                                SslPolicyErrors sslPolicyErrors)
        {
            Console.WriteLine($"sslPolicyErrors = {sslPolicyErrors}");
            return SslPolicyErrors.None == sslPolicyErrors;
        }
    }
}

调用使用Let's Encrypt证书的个人网站时，程序正常运行，输出SslPolicyErrors.None及JSON内容。但调用使用企业自签CA（含中间证书）的工作服务器时，出现SslPolicyErrors.RemoteCertificateChainErrors及System.AggregateException，内部异常提示“The remote certificate was rejected by the provided RemoteCertificateValidationCallback”。所有证书均未过期。

添加链状态打印代码后：

Console.WriteLine("-----------------------------------");
foreach (X509ChainStatus status in chain.ChainStatus)
{
    Console.WriteLine($"status = {status.Status}");
}

个人网站无链状态输出（但浏览器可见证书链），企业服务器输出链状态错误。

问题解答 #

1. 为何出现SslPolicyErrors.RemoteCertificateChainErrors？是自签CA还是签名算法问题？ #

核心原因是系统信任链不完整：

• 企业自签CA的根证书/中间证书未被当前运行控制台程序的机器信任。Let's Encrypt的根证书已被主流操作系统默认加入信任列表，验证自然通过；但企业自签CA属于内部颁发，不在系统默认信任池中，导致证书链无法被完整验证。
• 签名算法问题概率极低（除非使用SHA1等已废弃算法），可通过chain.ChainStatus的具体错误码确认：如果是X509ChainStatusFlags.InvalidSignature才是签名算法问题，自签场景下大多是X509ChainStatusFlags.UntrustedRoot或X509ChainStatusFlags.PartialChain。

2. 为何相同代码在Azure Service Fabric项目中可正常运行？ #

Azure Service Fabric环境的信任配置与本地机器存在差异：

• 企业可能已将自签CA的根证书部署到Service Fabric集群的机器信任列表中，或是Service Fabric应用配置了自定义证书信任存储（比如通过应用包附带证书文件、集群级证书配置）。
• 此外，Service Fabric运行时可能对证书验证有特殊适配逻辑，确保应用能找到完整的信任链完成验证。

3. 如何在不降低安全性的前提下，让程序适配企业服务器？ #

可通过以下安全方式解决：

• 将企业自签CA根证书安装到机器的受信任根证书颁发机构：这是通用方案，只需在运行程序的机器上安装一次，所有依赖系统信任链的应用都会自动信任该CA颁发的证书。
• 在代码中加载自定义信任证书：若无法修改机器信任配置，可在程序中手动加载企业CA根证书并添加到证书链信任列表，示例代码如下：

private static bool BackendCaValidation(HttpRequestMessage message, 
                                        X509Certificate2? certificate, 
                                        X509Chain? chain, 
                                        SslPolicyErrors sslPolicyErrors)
{
    if (sslPolicyErrors == SslPolicyErrors.None)
    {
        return true;
    }

    // 加载企业自签CA根证书（假设证书文件放在程序目录下）
    var caCert = new X509Certificate2("EnterpriseRootCA.cer");
    chain.ChainPolicy.ExtraStore.Add(caCert);
    // 重新验证证书链
    bool isChainValid = chain.Build((X509Certificate2)certificate);
    
    // 仅信任指定的企业CA，排除其他无效情况
    if (isChainValid)
    {
        return true;
    }
    // 针对仅根证书未被信任的场景，验证链中是否包含指定CA
    foreach (var status in chain.ChainStatus)
    {
        if (status.Status == X509ChainStatusFlags.UntrustedRoot && 
            chain.ChainElements.Cast<X509ChainElement>().Any(e => e.Certificate.Thumbprint == caCert.Thumbprint))
        {
            return true;
        }
    }
    
    Console.WriteLine($"sslPolicyErrors = {sslPolicyErrors}");
    foreach (X509ChainStatus status in chain.ChainStatus)
    {
        Console.WriteLine($"status = {status.Status}");
    }
    return false;
}

• 通过证书指纹精准信任指定CA：在验证回调中对比证书链根证书的指纹，确保仅企业CA颁发的证书通过验证，避免信任未知证书。

内容的提问来源于stack exchange，提问作者Alexander Farber