.NET Core Console App请求本地服务报错：证书链存在UntrustedRoot错误

UntrustedRoot错误的核心原因是你本地运行的应用服务使用的自签名证书根证书不在当前系统的受信任根证书颁发机构列表中，.NET运行时在执行SSL/TLS握手阶段校验证书链不通过，因此抛出异常。

方案1：将本地服务自签名根证书加入系统受信任存储（生产/开发环境均推荐） #

这是最合规无安全风险的方案，操作步骤如下：

• 先导出本地应用服务使用的根证书文件（通常为.crt/.cer格式）
• Windows 系统：双击证书文件，选择「安装证书」，存储位置选「本地计算机」，下一步后选择「将所有证书放入下列存储」，浏览选择「受信任的根证书颁发机构」，确认安装后重启控制台应用即可生效
• Linux 系统：将证书文件移动到/usr/local/share/ca-certificates/目录，执行sudo update-ca-certificates命令更新证书存储
• macOS 系统：双击证书文件后打开钥匙串访问，找到对应证书右键选择「显示简介」，在信任选项卡下将所有权限调整为「始终信任」

方案2：开发环境临时跳过证书校验（*仅适用于本地开发，生产环境严禁使用） #

可以通过自定义HttpClient的证书验证回调直接返回true绕过校验，代码示例：

// 手动构造HttpClient的情况
var handler = new HttpClientHandler
{
    ServerCertificateCustomValidationCallback = (sender, cert, chain, sslPolicyErrors) =>
    {
        // 仅本地开发使用，全局跳过所有证书校验存在中间人攻击风险
        return true;
    }
};
var httpClient = new HttpClient(handler);

如果你使用IHttpClientFactory注入HttpClient，配置示例：

builder.Services.AddHttpClient("LocalDevClient")
    .ConfigurePrimaryHttpMessageHandler(() => new HttpClientHandler
    {
        ServerCertificateCustomValidationCallback = (sender, cert, chain, sslPolicyErrors) => true
    });

方案3：仅信任指定本地证书（兼顾安全与开发需求） #

如果不想全局跳过校验，可仅校验本地服务证书的指纹，匹配则信任，代码示例：

// 提前复制你本地服务证书的SHA1/SHA256指纹
var allowedCertThumbprint = "你本地服务证书的指纹字符串";
var handler = new HttpClientHandler
{
    ServerCertificateCustomValidationCallback = (sender, cert, chain, sslPolicyErrors) =>
    {
        // 无证书错误直接放行
        if (sslPolicyErrors == SslPolicyErrors.None) return true;
        // 仅匹配指定指纹的证书放行
        return cert.Thumbprint.Equals(allowedCertThumbprint, StringComparison.OrdinalIgnoreCase);
    }
};
var httpClient = new HttpClient(handler);

• 生产环境禁止使用全局跳过证书校验的方案，会导致所有传输数据存在被窃听、篡改的中间人攻击风险
• 优先选择将证书加入受信任存储的方案，符合安全规范

内容的提问来源于stack exchange，提问作者tpooch21