Docker部署.NET5 Windows服务调用SendGrid报证书链UntrustedRoot错误

该报错本质是Docker容器内的系统根证书库缺少SendGrid API服务端对应的可信根CA证书：本地Windows系统默认预装了主流公网CA的根证书，所以本地运行时HTTPS证书校验正常；你所使用的微软官方.NET5 runtime镜像为了缩小体积做了裁剪，默认没有预装完整的根CA证书包，因此发起HTTPS请求到SendGrid服务端时无法完成证书链校验，抛出UntrustedRoot错误。

• 方案1：Dockerfile内安装根证书包（生产环境首选，无安全风险）
  修改你的Dockerfile的base阶段，新增安装根证书包的命令即可，适配默认Debian系的Linux .NET镜像：

FROM mcr.microsoft.com/dotnet/runtime:5.0 AS base
WORKDIR /app
# 新增以下命令，更新源并安装根CA证书
RUN apt-get update && apt-get install -y ca-certificates && update-ca-certificates

如果使用Windows容器，可替换为对应PowerShell命令导入公网根证书即可。

• 方案2：临时跳过证书校验（仅测试环境使用，生产环境禁止）
  如果只是临时调试不想修改镜像构造逻辑，可以自定义SendGridClient使用的HttpClient，临时跳过证书校验，该操作会降低通信安全性，生产环境务必删除：

var customHttpClient = new HttpClient(new HttpClientHandler
{
    ServerCertificateCustomValidationCallback = (_, _, _, _) => true
});
var sendGridClient = new SendGridClient(customHttpClient, apiKey);

• 方案3：内网自签名证书场景手动导入证书
  如果你的部署环境是企业内网，存在网关自签名证书的情况，可将对应的根证书文件拷贝到容器的/usr/local/share/ca-certificates/目录，再执行update-ca-certificates命令完成导入即可。

内容的提问来源于stack exchange，提问作者Vivek Nuna