.NET Core 5集成测试中TestServer调用Keycloak容器时如何绕过SSL验证

现有测试环境配置 #

• 基于 .NET Core 5 搭建集成测试项目
• 使用 dotnet-testcontainers 拉起 Keycloak 测试容器：容器内置自签名证书，暴露 8443 端口对外提供 HTTPS 服务
• 采用微软官方 TestServer 类构造内存级 API 请求链路，减少真实网络端口占用
• 已实现可正常工作的独立辅助逻辑：BaseFixture 中的 GetTestToken 方法通过自定义 HttpClientHandler 跳过非信任证书校验，可成功向 Keycloak 发起请求获取访问令牌

已验证无效的尝试与核心异常 #

• 在自定义 Testing 环境的 Startup 配置中，全局设置 ServicePointManager.ServerCertificateValidationCallback 信任所有证书，调试确认配置值已加载，但无实际效果
• 触发的运行时异常：JWT 中间件调用 Keycloak HTTPS 地址时抛出 IDX20804 认证异常，底层原因为 SSL 连接建立失败，远程证书校验不通过（错误标识为 RemoteCertificateNameMismatch、RemoteCertificateChainErrors）
• 核心卡点：TestServer.CreateClient() 方法不接受自定义 handler 参数，无法直接把现有可用的证书校验绕过逻辑注入到 TestServer 内部的请求链路中

可行解决方案 #

适配现有 TestServer 的修复方案 #

• 替换默认 HttpClient 工厂实现：在 TestServer 的服务配置阶段，将系统默认的 IHttpClientFactory 替换为内置证书跳过逻辑的实例。.NET Core 3.0 之后的版本中，部分 HttpClient 实现不再走 ServicePointManager 的全局证书校验回调，这也是之前配置全局逻辑不生效的核心原因
  配置代码可在测试环境的服务注册阶段追加：

  services.AddHttpClient()
      .ConfigurePrimaryHttpMessageHandler(() => new HttpClientHandler
      {
          ServerCertificateCustomValidationCallback = HttpClientHandler.DangerousAcceptAnyServerCertificateValidator
      });
  

  替换后，JWT 中间件内部用于拉取 OIDC 元数据、JWKS 公钥集的请求，会自动使用配置好的可跳过证书校验的 handler，无需额外修改中间件逻辑。
• 显式预置 JWT 中间件所需的配置值：如果不想修改全局 HttpClient 逻辑，可以在测试启动阶段，通过已正常工作的带证书绕过的 HttpClient 提前获取 Keycloak 的 OIDC 元数据、JWKS 地址，直接赋值到 JwtBearerOptions 的对应字段中，跳过 TestServer 运行时实时向 Keycloak 发请求拉取配置的环节，从根源绕开证书校验流程。

替代 TestServer 的实现方案 #

如果不想调整 TestServer 内部的服务注册逻辑，可以直接替换测试托管方式：

• 调整 WebApplicationFactory 的默认配置，将内存模式的 TestServer 改为监听本机临时随机端口的真实托管模式，此时全链路网络逻辑和生产环境完全一致，直接在服务配置阶段注入带证书跳过逻辑的 HttpClient 即可，不存在 TestServer 内部链路无法注入 handler 的卡点。

内容的提问来源于stack exchange，提问作者Dominik