带客户端证书的HttpWebRequest请求失败，寻求替代Mono API

遇到这种IIS返回RST包并报“I/O操作已中止”的情况，大概率是客户端证书的传递或验证环节出了问题——Mono的HttpWebRequest在和Windows IIS交互时，处理客户端证书确实存在一些兼容性坑。下面给你推荐几个更可靠的Mono API方案，附带代码示例：

方案1：使用HttpClient搭配HttpClientHandler（推荐） #

HttpClient是.NET（包括Mono）中更现代的HTTP客户端实现，处理证书的方式更灵活，兼容性也更好。示例代码如下：

// 加载客户端证书（确保证书包含可访问的私钥，若有密码需传入）
var certificate = new X509Certificate2("path/to/your/cert.pfx", "your-cert-password");

// 创建Handler并配置客户端证书
var handler = new HttpClientHandler();
handler.ClientCertificates.Add(certificate);
// 注意：仅测试环境可临时关闭证书链验证，生产环境请勿使用
// handler.ServerCertificateCustomValidationCallback = (sender, cert, chain, sslPolicyErrors) => true;

// 初始化HttpClient并设置请求头
using var httpClient = new HttpClient(handler);
httpClient.DefaultRequestHeaders.UserAgent.ParseAdd(UserAgentString);
httpClient.DefaultRequestHeaders.Accept.Add(new MediaTypeWithQualityHeaderValue("application/json"));

// 发送GET请求并处理响应
var response = await httpClient.GetAsync(this.uriString);
response.EnsureSuccessStatusCode(); // 自动抛出HTTP错误状态码对应的异常

// 读取响应流
using var stream = await response.Content.ReadAsStreamAsync();
this.webResponse = response;

方案2：自定义WebClient子类 #

如果你更习惯WebClient的用法，可以继承它并重写GetWebRequest方法来注入客户端证书：

public class CertEnabledWebClient : WebClient
{
    private readonly X509Certificate2 _clientCert;

    public CertEnabledWebClient(X509Certificate2 clientCert)
    {
        _clientCert = clientCert;
        // 预先设置请求头
        Headers.Add(HttpRequestHeader.UserAgent, UserAgentString);
        Headers.Add(HttpRequestHeader.Accept, "application/json");
    }

    protected override WebRequest GetWebRequest(Uri address)
    {
        var request = base.GetWebRequest(address) as HttpWebRequest;
        if (request != null)
        {
            request.ClientCertificates.Add(_clientCert);
            request.ProtocolVersion = HttpVersion.Version11;
            request.KeepAlive = false;
        }
        return request;
    }
}

// 使用示例
var certificate = new X509Certificate2("path/to/your/cert.pfx", "your-cert-password");
using var webClient = new CertEnabledWebClient(certificate);
using var stream = webClient.OpenRead(this.uriString);
this.webResponse = (HttpWebResponse)webClient.Response;

额外注意事项 #

• 证书加载细节：确保你的客户端证书是PFX格式（包含私钥），如果加载时遇到私钥访问问题，可以添加存储标志：

  var certificate = new X509Certificate2(
      "path/to/cert.pfx", 
      "password", 
      X509KeyStorageFlags.Exportable | X509KeyStorageFlags.PersistKeySet
  );
  

• IIS配置检查：确认IIS已开启“接受”或“要求”客户端证书，并且证书的签发CA已在IIS的受信任根证书存储中。
• ATS兼容性：虽然你提到了iOS 10.3.3的ATS，但Mac上的Mono应用主要需确保请求使用HTTPS协议，且TLS版本不低于1.2，避免触发ATS限制。

内容的提问来源于stack exchange，提问作者Robert