HttpClient 默认拒绝不信任的HTTPS证书，因.NET安全策略阻止连接；应通过HttpClientHandler的ServerCertificateCustomValidationCallback跳过验证，仅限开发测试环境使用。
HttpClient 默认拒绝不信任的 HTTPS 证书
只要服务端用的是自签名证书、过期证书，或者域名和证书不匹配，HttpClient 就会直接抛出 HttpRequestException，底层裹着 AuthenticationException 或 WinHttpException。这不是配置没写对，是 .NET 默认安全策略在起作用——它压根不给你建立连接的机会。
常见错误现象：System.Net.Http.HttpRequestException: The SSL connection could not be established，后面跟着一长串证书链验证失败描述。
- 别碰
ServicePointManager.ServerCertificateValidationCallback：它全局生效、线程不安全、.NET Core+ 已不推荐，且在HttpClient实例化后设置无效 - 正确做法是给
HttpClientHandler的ServerCertificateCustomValidationCallback赋值，且必须在创建HttpClient之前完成 - 回调里返回
true表示“我确认接受”，但务必只在开发/测试环境这么做；生产环境应校验证书指纹或使用有效 CA 签发的证书
如何为单个 HttpClient 实例跳过证书验证
这是最常用也最可控的方式。重点不是“怎么绕过去”，而是“绕过时别污染其他请求”。
实操要点：
- 新建
HttpClientHandler，设置ServerCertificateCustomValidationCallback = (message, cert, chain, errors) => true - 把该 handler 传给
HttpClient构造函数，不要复用全局静态HttpClient实例（否则所有请求都失效验） - 如果用了
IHttpClientFactory，不能直接设 callback —— 它会覆盖掉你配的 handler，得在AddHttpClient时用ConfigurePrimaryHttpMessageHandler注入自定义 handler
示例（非 DI 场景）：
var handler = new HttpClientHandler
{
ServerCertificateCustomValidationCallback = (msg, cert, chain, err) => true
};
var client = new HttpClient(handler);
HttpClientHandler 的 DangerousAcceptAnyServerCertificateValidator 是什么
.NET 5+ 提供了预置的“全放行”回调： HttpClientHandler.DangerousAcceptAnyServerCertificateValidator。名字里带 Dangerous 不是吓唬人，是编译器真会报警告（CS0618），而且它本质就是个返回 true 的委托。
用它不比手写 (...) => true 更安全，也不更省事，但它明确传递了一个信号：“我知道这很危险”。如果你团队有代码扫描规则，这个写法更容易被识别和拦截。
- 仅限 .NET 5 及以上；.NET Framework 和 .NET Core 3.1 不支持
- 仍需通过
ServerCertificateCustomValidationCallback赋值，只是右边换了个常量 - 别把它当成“官方背书的安全方案”——它只是语法糖，行为完全等价
忽略证书后还可能遇到 Connection refused 或超时
跳过证书验证 ≠ 请求一定能通。很多同学设完 callback 还报错，其实是卡在了更底层：DNS 解析失败、目标端口未开放、防火墙拦截、甚至 URL 写错了 https:// 却连了 HTTP 服务。
排查优先级建议：
- 先用
curl -k https://your-api.com或 Postman 关闭 SSL 验证试试，确认服务本身可访问 - 检查
HttpClient是否设置了过短的Timeout（默认 100 秒，但有些内网环境握手慢，可能需要调到 300 秒） - 如果目标是本地 IIS Express 或 Kestrel 自签名地址（如
https://localhost:5001），确保浏览器已信任该证书，或改用https://127.0.0.1:5001（部分系统对 localhost 的证书校验更松）
证书验证只是 HTTPS 连接的第一道门，门开了，后面还有路由、代理、TLS 版本兼容性这些关要过。
