Blazor Server Azure部署调用控制器报远程证书无效AuthenticationException怎么办？

Blazor Server的运行逻辑决定了，所有Razor组件的生命周期方法（比如OnParametersSetAsync）都是在Azure应用服务的服务器进程内执行的，你代码里手动创建HttpClient发起的请求，是服务器进程主动向外发起的服务端请求链路，和用户浏览器发起的请求完全独立。
本地调试一切正常、发布到Azure后从浏览器直接访问控制器接口正常、但组件内调接口就报远程证书无效，本质是两条链路的证书信任环境完全不一致：

• 浏览器访问接口走的是Azure应用服务的公网入口，挂的是受公共CA信任的有效SSL证书，浏览器会正常校验通过。
• 服务器自己访问NavigationManager.BaseUri指向的地址时，走的是Azure应用服务内部的负载均衡路由，这条链路下的证书是内部自签的，不在服务器进程的系统证书信任链里，所以会直接抛出AuthenticationException的证书无效错误。
  另外你代码里每次调用都手动new HttpClient的写法本身就存在设计缺陷，不仅有Socket资源泄漏的问题，也不会复用系统默认的证书信任配置，会放大这类环境适配问题。

• 彻底移除组件内手动创建HttpClient的写法，用依赖注入的方式注册适配环境的HttpClient：
  在应用的服务注册文件（Program.cs/Startup.cs）中添加服务注册代码：

  // 注册带默认配置的HttpClient服务
  builder.Services.AddHttpClient();
  

  在需要调用接口的Razor组件中，通过[Inject]特性注入IHttpClientFactory来获取可复用的HttpClient实例，不要手动new对象。
• 替换服务端请求的目标地址，避免走内部自签证书的路由：
  不要直接用NavigationManager.BaseUri作为请求的BaseAddress，强制把地址换成你的Azure应用服务对应的公网HTTPS地址，比如：

  // 替换成你自己的应用服务公网域名
  client.BaseAddress = new Uri("https://<你的应用服务名称>.azurewebsites.net/");
  

  这种写法下，服务端发起的请求会走公网入口路由，拿到的是受公共CA信任的有效证书，不会触发证书校验失败。
• 快速定位根因的临时验证手段（仅排查用，严禁长期放到生产环境）：
  如果你需要快速确认问题是不是内部链路证书导致的，可以临时给HttpClient加自定义的校验绕过逻辑，验证通过后必须把这段代码删掉：

  // 仅排查使用，生产环境绝对禁止
  var handler = new HttpClientHandler
  {
      ServerCertificateCustomValidationCallback = (req, cert, chain, err) => true
  };
  var client = new HttpClient(handler);
  

  如果加完这段代码后请求立刻成功，就可以100%确认是服务端自访问链路的证书信任问题。
• 额外优化：你代码里用Task.Run包裹异步方法的写法完全多余，Blazor Server的生命周期本身就是异步调度的，额外套Task.Run只会无谓消耗线程池资源，直接在OnParametersSetAsync里await调用方法逻辑即可，不会造成同步阻塞。

内容的提问来源于stack exchange，提问作者DaddyCool