CefSharp框架下二次请求客户端证书的重认证问题解决

你遇到的OnSelectClientCertificate在登出重连时无法触发的问题，核心诱因是Chromium/CEF/WebView2 内核的TLS会话复用（TLS Session Resumption）机制，和你之前尝试的Cookie清理、HTTP连接关闭操作完全不在同一逻辑层级：

• 初次完成TLS握手后，内核会把当前客户端证书对应的TLS会话凭证（Session Ticket、会话标识）持久化缓存在内存中
• 后续同域名的请求发起时，内核会直接复用缓存的TLS会话完成握手，完全不会走证书选择的流程分支，自然也就不会触发你重写的OnSelectClientCertificate回调
• 你之前调用的CloseAllConnections接口仅作用于HTTP层的连接池，不会清空TLS层的会话缓存；清理Cookie的操作更是和TLS会话存储完全独立的模块，从机制上就不可能触发回调重新执行。

• 核心必做操作：强制清空TLS会话缓存
  登出流程中必须主动调用当前应用绑定的请求上下文（RequestContext）实例的ClearSslSessionCache方法，强制清空内核内存中存储的所有TLS会话凭证、会话票据缓存。这步是所有操作的核心，没有任何其他操作可以替代。
• 替代原有不完整的连接关闭逻辑
  在TLS缓存清空完成后，再调整连接关闭的参数：调用请求上下文实例的CloseAllConnections时必须传入强制终止参数（CEF中为force=true），彻底关闭所有和当前认证域名绑定的TCP、TLS连接，避免内核复用还未完全释放的带缓存会话的连接直接发起请求。
• 从根源规避内核的证书记忆逻辑
  1. 初始化请求上下文时，主动关闭内核的客户端证书选择自动记忆能力（对应配置项为certificate_selection_cache_enabled = false），避免内核默认把用户上次选择的证书绑定到当前域名的请求上下文中
  2. 登出状态下触发证书选择回调时，主动解除当前用户会话和上一次选择的客户端证书的绑定关系，不要让内核默认携带旧证书完成握手
• 流程校验兜底
  固定登出流程的执行顺序为：触发ClearSslSessionCache清空TLS会话 → 强制关闭所有绑定域名的连接 → 清理当前域下的全部Cookie、站点存储数据 → 重置页面导航状态。按这个顺序执行的重连请求，因为没有可复用的TLS会话凭证，内核会重新走完整的TLS握手流程，自然会正常触发OnSelectClientCertificate回调，支持用户选择新的客户端证书完成认证。

• 所有缓存清理、连接关闭的操作必须绑定到和当前登出用户对应的RequestContext实例上，如果直接操作全局默认请求上下文，多实例、多用户场景下会出现TLS缓存清不干净的问题
• 调用ClearDataForOrigin类接口时，默认参数的清理规则不包含TLS会话缓存项，必须显式指定清理类型覆盖ssl_certs和tls_sessions，否则清理无效
• 如果是基于WebView2的实现，对应的TLS会话清理逻辑和CEF完全对齐，必须调用WebView2实例提供的客户端证书缓存清空接口，不能依赖Cookie清理、连接关闭的零散操作

内容的提问来源于stack exchange，提问作者cha0sDev