如何自定义SslStream证书验证策略避免OCSP/CRL不可用时的长超时问题

方案1：全版本兼容方案（支持.NET Framework、.NET Core所有版本） #

直接关闭SslStream内置的吊销检查逻辑，在回调中自行实现带超时的证书验证，这是适用范围最广的解决方式：

• 调用AuthenticateAsServer/AuthenticateAsClient时，将checkCertificateRevocation参数显式设置为false，关闭SslStream内部默认的吊销检查流程，从根源避免无限超时问题。
• 在RemoteCertificateValidationCallback回调中，自行构造自定义X509ChainPolicy的证书链对象完成全量验证逻辑，此时验证的超时、吊销规则完全由你控制。

示例代码：

// 客户端验证示例，服务端逻辑类似
RemoteCertificateValidationCallback customVerify = (sender, certificate, chain, sslPolicyErrors) =>
{
    // 先过滤掉非吊销相关的基础错误，比如证书不被信任、域名不匹配等
    if ((sslPolicyErrors & ~SslPolicyErrors.RemoteCertificateChainErrors) != 0)
    {
        return false;
    }

    // 自定义链策略做吊销验证
    X509Chain customChain = new X509Chain();
    customChain.ChainPolicy.RevocationMode = X509RevocationMode.Online;
    customChain.ChainPolicy.RevocationFlag = X509RevocationFlag.EntireChain;
    customChain.ChainPolicy.VerificationFlags = X509VerificationFlags.IgnoreRootRevocationUnknown | X509VerificationFlags.IgnoreEndRevocationUnknown;
    customChain.ChainPolicy.UrlRetrievalTimeout = TimeSpan.FromSeconds(5);
    // 额外补充基础验证规则，比如匹配域名、有效期检查等
    customChain.ChainPolicy.ExtraStore.AddRange(chain.ChainPolicy.ExtraStore);

    // 执行自定义验证
    bool isValid = customChain.Build((X509Certificate2)certificate);
    // 可根据需要处理customChain.ChainStatus里的错误
    return isValid;
};

// 调用验证时关闭内置吊销检查
await sslStream.AuthenticateAsClientAsync("your-hostname", null, SslProtocols.Tls12, checkCertificateRevocation: false);

方案2：.NET 5+ 原生支持方案 #

.NET 5及以上版本新增了SslAuthenticationOptions的CertificateChainPolicy属性，可以直接指定SslStream内部验证使用的链策略，不需要手动关闭内置验证再自定义：

var clientAuthOptions = new SslClientAuthenticationOptions
{
    TargetHost = "your-hostname",
    EnabledSslProtocols = SslProtocols.Tls12 | SslProtocols.Tls13,
    // 直接指定内部使用的自定义链策略
    CertificateChainPolicy = new X509ChainPolicy
    {
        RevocationMode = X509RevocationMode.Online,
        RevocationFlag = X509RevocationFlag.EntireChain,
        VerificationFlags = X509VerificationFlags.IgnoreRootRevocationUnknown | X509VerificationFlags.IgnoreEndRevocationUnknown,
        UrlRetrievalTimeout = TimeSpan.FromSeconds(5)
    },
    // 回调只需要处理最终验证结果即可
    RemoteCertificateValidationCallback = (_, _, _, errors) => errors == SslPolicyErrors.None
};

await sslStream.AuthenticateAsClientAsync(clientAuthOptions);

不推荐的方案（.NET Framework全局生效） #

如果无法修改代码，可修改系统级证书链配置的全局超时，修改注册表路径HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\OID\EncodingType 0\CertDllCreateCertificateChainEngine\Config下的UrlRetrievalTimeout值为预期的超时毫秒数，该配置会影响系统内所有依赖Windows证书链验证的程序，不建议生产环境使用。

内容的提问来源于stack exchange，提问作者WillowDweller