HttpClient 默认严格校验 SSL 证书，域名不匹配、过期、不受信等均抛出 HttpRequestException；仅开发或内网测试可临时自定义 ServerCertificateCustomValidationCallback，严禁生产环境禁用验证。
HttpClient 默认会拒绝无效 SSL 证书
默认情况下，HttpClient（底层通过 ServicePointManager 或 HttpClientHandler.ServerCertificateCustomValidationCallback）会对 TLS/SSL 证书做严格校验：域名不匹配、过期、签发者不受信任、链不完整等情况都会触发 HttpRequestException，附带类似 The SSL connection could not be established 的错误信息。这不是 bug，是安全默认行为。
绕过验证仅用于开发或内网测试
生产环境绝不应禁用证书验证。仅在以下场景可临时启用自定义验证逻辑：
- 调用本地自签名 API（如
https://localhost:5001） - 对接测试环境的私有 CA 签发证书（CA 未预装在系统信任库）
- 调试第三方服务证书问题，需观察原始响应内容
正确做法是：实现 ServerCertificateCustomValidationCallback，而非直接返回 true。示例：
var handler = new HttpClientHandler();
handler.ServerCertificateCustomValidationCallback = (request, cert, chain, errors) =>
{
// 允许自签名证书（仅限开发）
if (errors == SslPolicyErrors.RemoteCertificateNotAvailable ||
errors == SslPolicyErrors.RemoteCertificateNameMismatch)
{
return true;
}
// 其他错误（如过期、吊销）仍拒绝
return errors == SslPolicyErrors.None;
};
var client = new HttpClient(handler);
验证失败时 chain 和 errors 的常见组合
chain 是证书链对象，errors 是位掩码枚举，常遇到的有：
-
SslPolicyErrors.RemoteCertificateNotAvailable：服务器没提供证书（极少见） -
SslPolicyErrors.RemoteCertificateNameMismatch：CN 或 SAN 不匹配（如用 IP 访问但证书只含域名） -
SslPolicyErrors.RemoteCertificateChainErrors：证书链验证失败（缺少中间 CA、根 CA 不受信） - 多个错误可能同时存在，例如
RemoteCertificateNameMismatch | RemoteCertificateChainErrors
注意：chain?.TrustStatus.Status 在 .NET 5+ 可提供更细粒度错误（如 X509ChainStatusFlags.Revoked），但需手动检查 chain.ChainStatus 数组。
全局设置（不推荐）会影响所有 HTTP 请求
避免使用 ServicePointManager.ServerCertificateValidationCallback，它作用于整个 AppDomain，会干扰其他组件（如 WebClient、SmtpClient）。尤其在 ASP.NET Core 中，该设置可能被中间件覆盖或引发竞态。始终优先使用 HttpClientHandler 实例级配置。
另外，.NET Core 3.1+ 默认启用 TLS 1.2+，若目标服务仅支持 TLS 1.0（已废弃），需显式设置 handler.SslProtocols = SslProtocols.Tls12；但不要降级到不安全协议。
真正难处理的是证书链中缺失中间 CA —— 这必须让服务端修复或客户端手动加载中间证书到信任库，代码层无法“绕过”。
