ServerCertificateValidationCallback是否覆盖.NET默认证书验证？

核心结论 #

你自定义的ServerCertificateValidationCallback会完全覆盖.NET Framework自带的默认证书验证逻辑，原有默认校验不会再自动执行。

具体规则说明 #

• .NET Framework只要检测到ServerCertificateValidationCallback被赋值，就会直接以该回调的布尔返回值作为证书验证的最终结果，不会再执行内置的证书链校验、域名匹配校验、有效期校验等默认逻辑。
• 你当前示例中的回调方法缺少返回语句，无法直接编译运行。如果仅需要增加日志能力、保留原有默认验证逻辑，需要在日志记录完成后返回error == SslPolicyErrors.None，这一行就是.NET默认证书验证的判断规则。

正确实现示例 #

using System.Net;
using System.Security.Cryptography.X509Certificates;

// 全局注册回调
ServicePointManager.ServerCertificateValidationCallback += RemoteCertificateValidate;

private bool RemoteCertificateValidate(object sender, X509Certificate cert, X509Chain chain, SslPolicyErrors error)
{
    // 你的证书信息记录逻辑，可自行扩展记录主题、指纹、链错误、策略错误等信息
    Console.WriteLine($"服务端证书主题：{cert.Subject}，SSL校验错误：{error}");

    // 沿用默认验证逻辑的判断规则，不破坏原有安全校验
    return error == SslPolicyErrors.None;
}

注意事项 #

• 不要为了方便直接返回固定true，这会导致所有证书校验完全失效，哪怕证书过期、伪造、域名不匹配都能通过通信，存在极高的安全风险。
• 该回调是进程全局生效的，注册后当前进程内所有基于ServicePoint的HTTPS请求、基于HTTP传输的WCF请求都会共用这个回调逻辑，修改时注意不要影响其他业务模块的安全校验。

内容的提问来源于stack exchange，提问作者FluffyBike