如何为HttpClient添加servercertificatecustomvalidationcallback解决SSL连接报错

你可以通过ConfigurePrimaryHttpMessageHandler方法为注入的HttpClient配置请求处理器，在处理器中设置ServerCertificateCustomValidationCallback即可，具体配置如下：

开发环境临时调试方案（仅可用于本地测试） #

该方案会跳过所有SSL证书校验，生产环境绝对禁止使用：

services.AddHttpClient<ApiClient>((sp, config) =>
{
    config.BaseAddress = new Uri(Configuration["ServiceBaseUrl"]);
    config.DefaultRequestHeaders.Accept.Clear();
    config.DefaultRequestHeaders.Accept.Add(new MediaTypeWithQualityHeaderValue("application/json"));
})
.ConfigurePrimaryHttpMessageHandler(() =>
{
    return new HttpClientHandler
    {
        ServerCertificateCustomValidationCallback = (sender, cert, chain, sslPolicyErrors) =>
        {
            // 跳过所有证书校验，仅用于本地调试
            return true;
        }
    };
});

生产环境安全配置方案 #

如果目标服务使用自签名证书，建议通过校验证书指纹的方式实现可信校验，既可以解决SSL连接报错问题，也不会有安全风险：

services.AddHttpClient<ApiClient>((sp, config) =>
{
    config.BaseAddress = new Uri(Configuration["ServiceBaseUrl"]);
    config.DefaultRequestHeaders.Accept.Clear();
    config.DefaultRequestHeaders.Accept.Add(new MediaTypeWithQualityHeaderValue("application/json"));
})
.ConfigurePrimaryHttpMessageHandler(() =>
{
    // 替换为你实际信任的目标服务证书的SHA256指纹
    var trustedCertThumbprint = "替换为实际证书指纹".ToUpper();
    return new HttpClientHandler
    {
        ServerCertificateCustomValidationCallback = (sender, cert, chain, sslPolicyErrors) =>
        {
            // 无SSL错误直接放行
            if (sslPolicyErrors == SslPolicyErrors.None)
                return true;
            // 仅放行指纹匹配的可信证书
            return cert?.GetCertHashString()?.ToUpper() == trustedCertThumbprint;
        }
    };
});

额外注意事项 #

• 优先推荐将目标服务的可信根证书导入到部署服务器的受信任根证书存储中，无需配置回调即可解决SSL报错，安全性更高
• .NET 5及以上版本可以使用SocketsHttpHandler替代HttpClientHandler，回调配置逻辑完全一致

内容的提问来源于stack exchange，提问作者Ali Mardini