X509Certificate2证书验证延迟：如何完全绕过证书验证？

核心问题分析 #

你测试的三种X509CertificateValidationMode未生效，日志显示仍在执行X509Chain.Build，大概率是服务器环境的系统证书验证策略干扰，或是ITFoxtec默认验证器在特定模式下仍会触发部分链检查逻辑。要彻底绕过所有验证，需替换默认的证书验证器，实现完全无检查的逻辑。

实现步骤 #

1. 创建自定义无操作证书验证器 #

实现ICertificateValidator接口，直接返回验证通过，不执行任何证书检查：

using ITfoxtec.Identity.Saml2.Util;
using System.Security.Cryptography.X509Certificates;

public class NoOpCertificateValidator : ICertificateValidator
{
    public bool Validate(X509Certificate2 certificate)
    {
        // 完全跳过所有证书验证逻辑，直接返回有效
        return true;
    }
}

2. 配置SAML2使用自定义验证器 #

在SAML2服务配置中，替换默认的证书验证器为自定义实现：

services.AddSaml2(options =>
{
    // 保留你的其他SAML配置（如IdP元数据、SP实体ID等）
    options.CertificateValidator = new NoOpCertificateValidator();
});

为什么之前的模式无效？ #

• ChainTrust/PeerTrust：必然触发证书链构建，受服务器防火墙/代理影响导致延迟；
• None：部分环境下，系统底层的Crypt32库仍会尝试执行基础链验证（如系统证书存储的强制策略），或是ITFoxtec特定版本中None模式的实现未完全跳过链检查逻辑。自定义验证器直接绕过了所有默认逻辑，是最可靠的方式。

内容的提问来源于stack exchange，提问作者WebDev01