直接跳过证书验证不是修 bug 而是临时绕开安全检查，生产环境禁用；必须在创建 HttpClientHandler 时设置 ServerCertificateCustomValidationCallback 并传入 HttpClient 构造函数，不可复用静态实例或事后修改；推荐用 IHttpClientFactory 配合 ConfigurePrimaryHttpMessageHandler；禁用全局 ServicePointManager 回调因其过时、线程不安全且对 HttpClient 无效；.NET 5+ 可用 DangerousAcceptAnyServerCertificateValidator 明确语义，但仍需手动绑定；跳过验证后连不上未必是证书问题，应先排查 TLS 版本、证书链完整性及具体 sslPolicyErrors 类型；无条件 return true 将彻底放弃 HTTPS 身份认证能力，调试时宜结合域名白名单做条件放行。
直接跳过证书验证不是“修 bug”，而是临时绕开安全检查。生产环境绝不能用 return true，开发调试时也必须限定作用域、避免污染其他请求。
HttpClientHandler.ServerCertificateCustomValidationCallback 怎么设才有效
这个回调只在 HttpClientHandler 实例创建时生效，且必须在传给 HttpClient 构造函数前完成赋值。常见错误是：先 new HttpClient()，再试图改它的 handler —— 这不可能成功，因为 HttpClient 的 handler 是只读属性。
- 必须新建
HttpClientHandler，设置ServerCertificateCustomValidationCallback，再传入HttpClient构造函数 - 不要复用静态
HttpClient实例，否则所有后续请求都会继承该 handler 的不安全策略 - 若用
IHttpClientFactory（推荐），需在AddHttpClient时通过ConfigurePrimaryHttpMessageHandler注入自定义 handler，不能在 service provider 中全局设置ServicePointManager
为什么 ServicePointManager.ServerCertificateValidationCallback 不推荐
它修改的是全局静态委托，影响进程内所有 HttpWebRequest 及底层通道，且线程不安全。.NET Core / .NET 5+ 已明确标记为过时（编译器警告 CS0618），更关键的是：它对 HttpClient 实例完全无效 —— 因为 HttpClient 不走这套旧机制。
- 仅适用于老式
HttpWebRequest场景（如遗留 WinForms/WPF 同步调用） - 在 ASP.NET Core 或 .NET 6+ Web API 中使用，等于给整个服务开了后门
- 即使你只在某个方法里临时赋值，也无法保证并发下不被其他线程覆盖或干扰
HttpClientHandler.DangerousAcceptAnyServerCertificateValidator 是什么
这是 .NET 5+ 提供的预置委托常量，本质就是 (msg, cert, chain, err) => true，但名字带 Dangerous 是编译器强制提醒你：这行代码会绕过全部证书校验逻辑。
- 它不会比手写
() => true更安全，也不会自动限域 —— 仍需你手动绑定到具体HttpClientHandler - 优势在于语义明确，CI/CD 流水线或代码扫描工具能基于命名快速识别并拦截
- 如果你团队有合规审计要求，用这个写法比匿名函数更容易追溯和管控
跳过验证后还连不上？可能根本不是证书问题
看到 “SSL/TLS secure channel” 错误就急着关证书校验，容易掩盖真实原因。实际可能是 TLS 协议版本不匹配、服务器只支持 TLS 1.3 而客户端卡在 1.2、或中间证书缺失导致链无法构建。
- 先用浏览器访问目标地址，看是否提示“您的连接不是私密连接”，并点开证书查看“证书路径”是否完整
- 用
openssl s_client -connect host:443 -servername host检查服务器实际返回的证书链 - 在代码中把
ServerCertificateCustomValidationCallback的参数sslPolicyErrors打出来，确认到底是SslPolicyErrors.RemoteCertificateNotAvailable还是RemoteCertificateNameMismatch—— 前者大概率是网络或协议问题，后者才是域名不匹配
最危险的不是不知道怎么跳过验证，而是没意识到：一旦用了 return true，你就放弃了 HTTPS 最核心的“身份认证”能力。哪怕只是本地调试，也建议配合域名白名单做条件判断，而不是无差别放行。
