服务器X509证书续期后，C# SOAP客户端是否必须保留同证书？

先给你明确结论：不一定，但要分两种核心场景来看——取决于你们用的是单向SSL还是双向SSL认证，结合你的描述和代码细节拆解如下：

1. 先理清你的场景核心 #

从你的描述和代码能看出来：

• 客户端和服务器原本共用同一份X509Certificate2证书
• 现在服务器更新了这份证书的有效期（生成了同主体、同密钥但有效期更长的新证书文件）
• 客户端通过SSL3+TLS连接SOAP服务，代码里既设置了客户端证书，也自定义了服务器证书验证回调

2. 分场景具体分析 #

场景一：单向SSL认证（服务器不验证客户端证书） #

如果你的服务器只是用证书做自身身份标识，不需要验证客户端的证书（虽然代码里写了ClientCertificate的设置，但可能服务器端没开启客户端证书校验）：

• 客户端完全不需要保留旧证书。客户端连接时只会验证服务器返回的新证书是否合法：
  • 只要新证书的主题（myDomain.com）匹配、在有效期内、且被客户端信任（比如导入到LocalMachine\TrustedPeople存储，或者你的ValidateRemoteCertificate回调逻辑能放行新证书），就能正常建立连接。
  • 旧证书可以直接删除或替换，不会对客户端连接造成影响。

场景二：双向SSL认证（服务器需要验证客户端证书） #

如果服务器配置了双向SSL，要求客户端必须提供合法证书才能连接（你的代码里设置ClientCertificate就是为了满足这个要求）：

• 客户端需要把旧证书替换成新的有效期延长的版本：
  • 服务器会校验客户端发送的证书有效性，包括有效期。如果客户端还在用旧证书，一旦旧证书过期，连接必然失败。
  • 替换后要确保客户端能通过SetCertificate找到新证书（比如新证书也导入到LocalMachine\TrustedPeople，主题还是myDomain.com），由于你们原本共用同一份证书，服务器端应该已经信任这份新证书了，不用额外配置。

3. 结合你的代码要注意的细节 #

• 你的代码里自定义了ServicePointManager.ServerCertificateValidationCallback，如果这个回调里有针对旧证书的硬校验逻辑（比如固定校验旧证书的指纹），记得更新成新证书的指纹，否则新证书会被拒绝。
• 如果是自签名证书，务必把新的服务器证书导入到客户端的信任存储（TrustedPeople或Root），避免出现证书不被信任的连接错误。

内容的提问来源于stack exchange，提问作者user1012506