PowerShell指定IP发起HTTPS请求并校验证书的ConnectCallback问题

需要实现负载均衡后端Web服务器的验证逻辑：DNS记录统一指向负载均衡前端IP，要求直连未做DNS解析的后端节点IP发起HTTPS请求，且不能跳过证书校验，必须在请求流程中完整验证服务端证书的合法性。最初尝试通过SocketsHttpHandler的ConnectCallback实现自定义连接逻辑，但多次编写的代码都无法正常运行。

第一次尝试的代码存在三个核心问题：

• ConnectCallback的委托签名完全不符合规范：.NET要求该回调接收SocketsHttpConnectionContext、CancellationToken两个参数，返回ValueTask<NetworkStream>，而非直接接收IP和端口参数
• 错误将SocketsHttpHandler实例作为可执行方法调用，传入HttpClient构造函数
• 调用Socket.ConnectAsync时未等待连接完成，就直接创建NetworkStream返回，此时TCP连接尚未建立，请求必然失败

后续更新的内嵌C#版本已经接近正确，但存在一个致命的类型匹配问题：回调的返回值定义为Task<NetworkStream>，但ConnectCallback属性要求的委托返回类型是ValueTask<NetworkStream>，PowerShell无法自动完成两种委托类型的隐式转换，因此赋值回调时会抛出类型不匹配错误。

$SourceUri = [System.Uri]::new("https://site.domain.com/healthCheck")
[System.Net.IPAddress]$IPAddress = '192.168.1.17'
[int]$Port = 443

$Code = @'
using System;
using System.Net;
using System.Net.Http;
using System.Net.Sockets;
using System.Threading;
using System.Threading.Tasks;

public sealed class SocketCallbackClosure
{
    public IPAddress IPAddress { get; }
    public int Port { get; }

    public Func<SocketsHttpConnectionContext, CancellationToken, ValueTask<NetworkStream>> Callback { get; }

    public SocketCallbackClosure(IPAddress ipAddress, int port)
    {
        IPAddress = ipAddress;
        Port = port;
        Callback = CallbackImpl;
    }

    private async ValueTask<NetworkStream> CallbackImpl(
        SocketsHttpConnectionContext connectionContext,
        CancellationToken cToken)
    {
        var socket = new Socket(SocketType.Stream, ProtocolType.Tcp) { NoDelay = true };
        try
        {
            socket.SetSocketOption(SocketOptionLevel.Socket, SocketOptionName.KeepAlive, true);
            socket.SetSocketOption(SocketOptionLevel.Tcp, SocketOptionName.TcpKeepAliveTime, 5);
            socket.SetSocketOption(SocketOptionLevel.Tcp, SocketOptionName.TcpKeepAliveInterval, 5);
            socket.SetSocketOption(SocketOptionLevel.Tcp, SocketOptionName.TcpKeepAliveRetryCount, 5);

            await socket.ConnectAsync(IPAddress, Port, cToken);
            return new NetworkStream(socket, ownsSocket: true);
        }
        catch
        {
            socket.Dispose();
            throw;
        }
    }
}
'@

Add-Type -TypeDefinition $Code -Language CSharp

$callbackClosure = [SocketCallbackClosure]::new($IPAddress, $Port)
$handler = [System.Net.Http.SocketsHttpHandler]::new()
$handler.ConnectCallback = $callbackClosure.Callback
# 保持默认证书校验逻辑，无需配置ServerCertificateCustomValidationCallback跳过校验
$client = [System.Net.Http.HttpClient]::new($handler)

try {
    $response = $client.GetStringAsync($SourceUri).GetAwaiter().GetResult()
    Write-Output $response
}
catch {
    Write-Output "请求出错: $($_.Exception.Message)"
}
finally {
    $client.Dispose()
}

• 该实现仅自定义TCP层的连接目标IP，TLS层完全使用默认逻辑：会自动携带请求域名site.domain.com作为SNI，完整验证证书链信任状态、有效期、域名匹配规则，完全满足证书合法性校验的要求，不需要跳过任何证书错误
• 代码中正确传递了取消令牌，异常时会主动释放Socket资源，不会出现连接泄漏
• 用GetAwaiter().GetResult()替代Wait()方法，可以直接抛出原始异常，避免AggregateException包装导致的错误信息不清晰问题
• 兼容性说明：该实现仅支持PowerShell 7及以上版本（基于.NET Core/.NET 5+），Windows PowerShell 5.1基于.NET Framework，不支持ConnectCallback属性。

内容的提问来源于stack exchange，提问作者Robert