.NET Core HttpClient带客户端证书调用接口报远程证书无效如何解决

问题根因 #

该报错本质是本地.NET运行时校验目标服务端返回的SSL证书不合法，和你携带的客户端证书没有直接关系。Postman可以正常调用，是因为Postman默认关闭了非信任证书的拦截规则，或者其信任根证书列表与.NET运行时的系统信任列表不一致。
另外你提供的示例代码存在变量名错误：你声明的证书变量是cert，但添加到客户端证书集合时使用的是cobCert，如果实际运行代码也存在该问题需要先修正。

测试场景临时解决方案（仅本地调试可用，禁止用于生产环境） #

可以临时关闭服务端SSL证书校验逻辑，修改后代码如下：

using var cert = new X509Certificate2(pathToCert);
var handler = new HttpClientHandler();
handler.ClientCertificates.Add(cert);
// 临时关闭服务端证书校验，仅测试使用
handler.ServerCertificateCustomValidationCallback = (sender, certificate, chain, sslPolicyErrors) => true;
var client = new HttpClient(handler);
var response = await client.PostAsync(url, new StringContent(json, Encoding.UTF8, "application/json"));

生产环境正确处理方案 #

生产环境禁止关闭证书校验，需从根因解决证书信任问题：

• 若目标服务端使用CA机构签发的公网证书，确认运行应用的服务器网络可以正常访问CA根证书吊销列表，无特殊网络拦截
• 若目标服务端使用自签名证书，需将自签名证书的根证书导入到运行应用的服务器的受信任根证书颁发机构存储区，根据运行账号选择导入到当前用户存储区或本地计算机存储区
• 若使用IHttpClientFactory，参考配置如下：

builder.Services.AddHttpClient("WithCertClient", client =>
{
    client.BaseAddress = new Uri("你的接口基础地址");
})
.ConfigurePrimaryHttpMessageHandler(() =>
{
    var handler = new HttpClientHandler();
    // 加载客户端证书，有密码请传入第二个参数
    var clientCert = new X509Certificate2("证书文件路径", "证书密码");
    handler.ClientCertificates.Add(clientCert);
    return handler;
});

其他排查方向 #

• 确认客户端证书包含完整私钥：若加载的pfx/p12证书无对应私钥，会导致SSL握手失败，X509Certificate2初始化无异常一般代表私钥正常
• 确认运行账号的证书访问权限：如果从系统证书存储区读取证书，需要给应用运行账号分配证书的读取权限
• 确认TLS版本匹配：部分老旧服务端仅支持TLS1.2，可手动指定handler.SslProtocols = System.Security.Authentication.SslProtocols.Tls12;适配

内容的提问来源于stack exchange，提问作者Xaphann