.NET Standard 2.1在Linux运行时的证书验证配置问题

以下为HttpWebRequest搭配ServicePointManager.ServerCertificateValidationCallback实现自定义证书校验场景的两个问题解答：

Linux环境下证书的正确存放位置 #

.NET 运行时在Linux环境下基于OpenSSL实现证书链校验，X509Chain默认会读取系统级和当前用户级的信任证书存储，原有Windows下的校验代码不需要修改，只要把CA证书放到对应位置即可正常生效：

• Debian/Ubuntu 系列发行版：将PEM格式的CA证书（后缀为.crt）放到/usr/local/share/ca-certificates/目录下，执行sudo update-ca-certificates命令更新系统信任存储即可。
• RHEL/CentOS/Fedora 系列发行版：将PEM格式的CA证书放到/etc/pki/ca-trust/source/anchors/目录下，执行sudo update-ca-trust extract命令更新系统信任存储即可。
• 无管理员权限、仅需对当前运行应用的用户生效时：将证书放到当前用户目录下的~/.dotnet/corefx/cryptography/x509stores/root/路径即可，.NET运行时会自动读取该路径下的根证书，不需要执行更新命令，也不会影响系统其他程序。

注意：不要直接修改/etc/ssl/certs/目录下的文件，该目录是证书更新命令自动生成的索引目录，手动修改的内容会在下次执行证书更新操作时被覆盖。

直接指定证书文件路径、无需安装证书的实现方案 #

不需要往系统/用户证书存储区安装证书，直接在证书校验回调中手动加载指定路径的CA证书，自定义证书链信任规则即可。该方案全平台通用（Windows/Linux/macOS均可），和原有代码逻辑完全兼容，核心实现代码如下：

// 可在应用启动时全局配置，也可针对单个HttpWebRequest请求单独配置
ServicePointManager.ServerCertificateValidationCallback = (sender, certificate, chain, sslPolicyErrors) =>
{
    // 加载指定路径下的自定义根CA证书（仅需公钥证书即可，不需要私钥）
    var customRootCert = new X509Certificate2("/your/app/path/custom-root-ca.crt");
    
    // 配置证书链策略，使用自定义根证书作为信任锚
    chain.ChainPolicy.TrustMode = X509ChainTrustMode.CustomRootTrust;
    chain.ChainPolicy.CustomTrustStore.Add(customRootCert);
    // 如果校验链路需要额外的中间证书，也可通过ExtraStore属性追加
    // chain.ChainPolicy.ExtraStore.Add(new X509Certificate2("/path/intermediate-ca.crt"));

    // 执行证书链构建校验
    bool validationResult = chain.Build((X509Certificate2)certificate);

    // 可在此处追加自定义校验逻辑，比如校验证书指纹、域名匹配、过期策略等
    return validationResult;
};

方案注意事项 #

• .NET Standard 2.1原生支持X509ChainTrustMode.CustomRootTrust配置，不需要升级更高版本的.NET框架。
• 如果使用带密码保护的PFX格式证书，加载时传入对应密码参数即可。
• 该方案部署时仅需将证书文件随应用一起打包发布，不需要在目标机器上做任何系统级证书安装操作，适配容器、无权限服务器等部署场景。

内容的提问来源于stack exchange，提问作者Alexandros Mor