.NET 6 HttpClient调用HTTPS端点遇证书链不受信任异常

核心原因 #

本地调用正常是因为你手动安装了证书链里的根/中间证书，系统信任了对应的颁发机构；而Azure Function运行环境默认仅信任公共可信CA颁发的证书，若对方端点的证书来自私有CA或自签名，就会触发信任验证失败。

解决方案 #

方案1：将私有CA/根证书导入Azure Function信任存储（推荐生产环境） #

1. 从本地导出已信任的根证书，格式选择Base64编码的X.509 .cer
2. 进入Azure门户的Function App，打开配置 -> 应用程序设置，添加新配置项：
   • 名称：WEBSITE_LOAD_ROOT_CERTIFICATES
   • 值：填入根证书的指纹（从本地证书管理器复制，需去掉空格）
3. 保存设置后重启Function App，Azure环境会自动信任该根证书，证书链验证即可通过。

方案2：临时跳过证书链验证（仅限测试环境） #

仅用于测试场景，生产环境禁用此方式，存在安全风险：

var handler = new HttpClientHandler();
// 添加你的客户端证书
handler.ClientCertificates.Add(certificate);
// 跳过服务器证书链验证
handler.ServerCertificateCustomValidationCallback = (sender, cert, chain, sslPolicyErrors) => true;

var client = new HttpClient(handler);
// 后续调用逻辑

方案3：正确使用Azure Function Certificates功能 #

之前上传PFX后未生效，大概率是证书加载方式有误，正确步骤：

1. 在Azure Function的Certificates (preview)标签上传PFX证书，记录证书的Thumbprint
2. 在应用程序设置中添加WEBSITE_LOAD_CERTIFICATES，值填入证书指纹（多个证书用逗号分隔）
3. 代码中从环境证书存储加载客户端证书，而非本地文件：

using System.Security.Cryptography.X509Certificates;

// 通过指纹加载证书
var store = new X509Store(StoreName.My, StoreLocation.CurrentUser);
store.Open(OpenFlags.ReadOnly);
var certCollection = store.Certificates.Find(X509FindType.FindByThumbprint, "你的证书指纹", false);
store.Close();

if (certCollection.Count > 0)
{
    var handler = new HttpClientHandler();
    handler.ClientCertificates.Add(certCollection[0]);
    var client = new HttpClient(handler);
    // 调用远程端点逻辑
}

注意：此方案仅解决客户端证书加载问题，若服务器端证书链仍不被信任，需配合方案1完成根证书信任配置。

内容的提问来源于stack exchange，提问作者Libor Mězl