必须用HttpClientHandler设置ClientCertificates，否则TLS握手不触发客户端证书发送；服务端未发CertificateRequest或CA链不可信是主因，私钥权限、TLS版本、密码套件不匹配亦常见。
必须用 HttpClientHandler 设置 ClientCertificates，否则证书根本不会在 TLS 握手时发送——这不是配置遗漏，是协议层面不触发。
为什么 HttpClient 不发客户端证书？
服务端没发 CertificateRequest 消息，或客户端没响应。常见表现：HttpRequestException: The SSL connection could not be established，Wireshark 抓包看不到 TLS handshake type 13。
- 确认服务端启用了客户端证书请求：Nginx 需
ssl_verify_client required，Kestrel 需HttpsConnectionAdapterOptions.ClientCertificateMode = ClientCertificateMode.RequireCertificate - 客户端证书必须由服务端明确信任的 CA（根或中间）签发；本地可用
X509Chain.Build()验证链是否完整可信 -
ServerCertificateCustomValidationCallback完全不影响客户端证书发送逻辑——它只管服务端证书校验
X509Certificate2 加载失败的典型原因
私钥不可用是最常卡住的环节，尤其在 Windows 生产环境。
- 证书必须是
.pfx或.p12格式，且加载时传入正确密码：new X509Certificate2("client.pfx", "password") - 若使用
X509KeyStorageFlags.MachineKeySet，需确保运行账户对机器密钥存储有读取权限（常见于 IIS 或 Windows Service 场景） - Linux/macOS 上不支持
MachineKeySet，应改用X509KeyStorageFlags.EphemeralKeySet或默认构造 - 错误提示
"Keyset does not exist"几乎都指向私钥权限或加载标志位不兼容
HttpClientHandler 构造与 TLS 版本控制
.NET 版本不等于 TLS 能力，最终取决于运行时操作系统支持的最高版本。
- Windows Server 2012 R2 默认不支持 TLS 1.3，即使 .NET 8 也无法启用
- 显式指定 TLS 版本（仅限必要场景）：
handler.SslProtocols = SslProtocols.Tls12，避免协商失败 - 密码套件不匹配也会导致握手失败，但通常表现为静默超时而非明确异常；可用 PowerShell
Get-TlsCipherSuite查看系统支持列表 - 不要用
ServicePointManager.SecurityProtocol全局设置——它已过时，且影响所有HttpWebRequest流量
真正难调的不是代码怎么写，而是服务端 TLS 配置、CA 信任链、私钥权限这三者能否严丝合缝对上——任何一环断开，握手就在暗处失败，连日志都不会报错。
