Linux环境下NET5 JWT Bearer认证不识别自签名SSL证书问题求助

导致Linux和Windows下行为差异的核心原因来自三个层面的系统适配区别：

• Windows的X509证书校验默认提供1小时的生效时间容错窗口，即使证书刚生成、生效时间略晚于当前时间也可以通过校验；而Linux下的.NET运行时默认没有该容错机制，证书生效时间与系统时间差超过1秒就会触发NotTimeValid错误。
• .NET 5在Linux上的可信CA证书存储存在本地缓存，执行update-ca-certificates后如果没有清理缓存重启应用，运行时不会加载新导入的自签名证书。
• Linux系统默认的NTP时间同步配置可能未启用，系统UTC时间与实际时间偏差超出证书有效期范围，而Windows系统默认开启时间自动同步，不会出现该问题。

可以通过注入自定义证书校验回调，直接获取组件实际校验的证书信息和错误依据：
修改你的JwtBearer配置如下，新增证书校验日志输出：

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.Authority = appSettings.Authorization.Authority;
        options.TokenValidationParameters.ValidTypes = new[] { "at+jwt" };
        options.TokenValidationParameters.ValidateAudience = false;
        // 新增Backchannel处理器，输出证书校验详情
        options.BackchannelHttpHandler = new HttpClientHandler
        {
            ServerCertificateCustomValidationCallback = (sender, cert, chain, sslPolicyErrors) =>
            {
                Console.WriteLine("===证书校验信息===");
                Console.WriteLine($"证书主题: {cert.Subject}");
                Console.WriteLine($"证书生效时间(UTC): {cert.NotBefore:yyyy-MM-dd HH:mm:ss}");
                Console.WriteLine($"证书过期时间(UTC): {cert.NotAfter:yyyy-MM-dd HH:mm:ss}");
                Console.WriteLine($"当前系统UTC时间: {DateTime.UtcNow:yyyy-MM-dd HH:mm:ss}");
                Console.WriteLine($"SSL错误类型: {sslPolicyErrors}");
                foreach(var status in chain.ChainStatus)
                {
                    Console.WriteLine($"链校验错误: {status.Status} - {status.StatusInformation}");
                }
                // 临时返回true测试业务是否正常，排查完成后可删除该行恢复默认校验
                return true;
            }
        };
    });

启动应用后访问授权接口，即可在控制台看到组件实际校验的证书时间、系统时间、具体错误信息。
除此之外可以执行以下系统层面排查：

• 执行timedatectl检查系统UTC时间是否正确，确认时间同步服务处于启用状态。
• 执行openssl s_client -connect localhost:你的IdentityServer端口 命令，直接获取IdentityServer返回的证书时间，确认与你生成的证书一致。
• 执行ls /etc/ssl/certs | grep 你的证书文件名 确认导入的自签名证书已经被正确写入系统CA存储。

对应不同的问题根源，可以选择对应的修复方案：

1. 若为时间差容错问题：生成自签名证书时将生效时间（NotBefore）往前调整1小时，避免刚生成证书时的时间差问题，命令参考：
   openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.crt -days 365 -subj "/CN=你的域名" -addext "subjectAltName=DNS:你的域名,DNS:localhost" -days 365 -notbefore -1h
2. 若为.NET证书缓存问题：删除.NET运行时的证书缓存目录后重启应用：
   rm -rf ~/.dotnet/corefx/cryptography/x509stores/*
3. 若为系统时间同步问题：启用NTP时间同步：
   timedatectl set-ntp true
4. 若希望彻底避免系统CA存储的影响：直接在JwtBearer配置中明确信任你的自签名证书，不需要依赖系统CA导入，将自定义校验回调中的逻辑改为校验证书指纹即可。

内容的提问来源于stack exchange，提问作者FullStackOverflowDev