如何为HttpClientHandler的ServerCertificateCustomValidationCallback自定义校验错误信息

能否在回调内抛出自定义异常 #

可以直接在ServerCertificateCustomValidationCallback回调内抛出自定义异常，无需返回false。.NET运行时不会捕获该回调内抛出的异常，异常会直接向上传递到HttpClient请求的调用位置，你可以在该位置捕获并处理带具体错误原因的自定义异常。
参考实现代码：

// 自定义证书校验错误枚举
public enum CertValidationErrorType
{
    主机名不匹配,
    证书缺失,
    根证书不受信任,
    证书已吊销,
    证书已过期,
    其他校验失败
}

// 自定义异常类
public class CertValidationFailedException : Exception
{
    public CertValidationErrorType ErrorType { get; }
    public X509Certificate2? TargetCert { get; }

    public CertValidationFailedException(CertValidationErrorType errorType, string errorMsg, X509Certificate2? cert = null) : base(errorMsg)
    {
        ErrorType = errorType;
        TargetCert = cert;
    }
}

// 回调逻辑编写
var handler = new HttpClientHandler();
handler.ServerCertificateCustomValidationCallback = (sender, cert, chain, sslPolicyErrors) =>
{
    // 证书为空判断
    if (cert == null)
    {
        throw new CertValidationFailedException(CertValidationErrorType.证书缺失, "服务端未返回有效证书");
    }
    // 主机名不匹配判断
    if (sslPolicyErrors.HasFlag(SslPolicyErrors.RemoteCertificateNameMismatch))
    {
        throw new CertValidationFailedException(CertValidationErrorType.主机名不匹配, "证书通用名与请求主机名不匹配", new X509Certificate2(cert));
    }
    // 证书链错误判断
    if (sslPolicyErrors.HasFlag(SslPolicyErrors.RemoteCertificateChainErrors))
    {
        foreach (var chainStatus in chain.ChainStatus)
        {
            switch (chainStatus.Status)
            {
                case X509ChainStatusFlags.UntrustedRoot:
                    throw new CertValidationFailedException(CertValidationErrorType.根证书不受信任, $"根证书未被系统信任：{chainStatus.StatusInformation}", new X509Certificate2(cert));
                case X509ChainStatusFlags.Revoked:
                    throw new CertValidationFailedException(CertValidationErrorType.证书已吊销, $"证书已被吊销：{chainStatus.StatusInformation}", new X509Certificate2(cert));
                case X509ChainStatusFlags.NotTimeValid:
                    throw new CertValidationFailedException(CertValidationErrorType.证书已过期, $"证书不在有效期内：{chainStatus.StatusInformation}", new X509Certificate2(cert));
            }
        }
    }
    // 所有校验通过返回true
    return true;
};

// 使用示例
using var client = new HttpClient(handler);
try
{
    var resp = await client.GetAsync("https://test.example.com");
}
catch (CertValidationFailedException ex)
{
    // 直接获取具体错误信息处理
    Console.WriteLine($"证书校验失败，原因：{ex.ErrorType}，详情：{ex.Message}");
}

不能抛异常时的替代方案 #

如果你受现有封装逻辑限制，要求回调必须返回布尔值，可通过AsyncLocal存储上下文错误信息，在请求捕获到标准证书错误后读取具体原因：

// 定义AsyncLocal存储当前请求的校验错误
private static readonly AsyncLocal<CertValidationFailedException?> _currentValidationError = new AsyncLocal<CertValidationFailedException?>();

// 回调实现
handler.ServerCertificateCustomValidationCallback = (sender, cert, chain, sslPolicyErrors) =>
{
    _currentValidationError.Value = null;
    if (sslPolicyErrors != SslPolicyErrors.None)
    {
        // 按上述逻辑判断具体错误类型，生成自定义异常存入AsyncLocal
        _currentValidationError.Value = new CertValidationFailedException(/* 赋值对应参数 */);
        return false;
    }
    return true;
};

// 请求处处理
try
{
    var resp = await client.GetAsync("https://test.example.com");
}
catch (HttpRequestException ex) when (ex.Message.Contains("The remote certificate was rejected"))
{
    var customError = _currentValidationError.Value;
    if (customError != null)
    {
        // 处理自定义错误
        Console.WriteLine($"证书校验失败：{customError.ErrorType}，{customError.Message}");
        // 可选择抛出带具体原因的异常替代原标准异常
        throw customError;
    }
    // 没有自定义错误时抛出原异常
    throw;
}

注意事项 #

• 回调参数中的证书对象会在回调执行完成后被运行时释放，如果你需要在回调外访问证书信息，必须手动创建X509Certificate2的副本存储，避免访问已释放对象的报错
• 不要对外暴露完整证书的敏感信息，避免信息泄露风险

内容的提问来源于stack exchange，提问作者Yevgeniy P