通过 ServerCertificateCustomValidationCallback 验证后可访问 X509Certificate2

Question

我正在使用带有自定义 ServerCertificateCustomValidationCallback 的 HttpClientHandler。

在请求完成后，我需要，或者至少想要访问证书链和服务器证书。目前我只是将它们都放在 class 变量中以便稍后访问。

这可能吗？

我现在看到的行为是验证后无法访问两个对象。当我尝试在我的调试器中检查服务器证书时，我目前得到 System.Security.Cryptography.CryptographicException。链似乎是空的。

Answer 1

您遇到的问题是因为对象在离开回调后被释放造成的。您可以按如下方式将证书复制到局部变量：

class MyClass {
    static X509Certificate2 localCert; // must be static
    void MyMethod() {
        ServicePointManager.ServerCertificateValidationCallback += (sender, cert, chain, error) =>
        {
            localCert = new X509Certificate2(cert.RawData);
            // continue validation and return value
           ...
        };
        // do TLS connection
        ...
    }
}

链式复制有点复杂，因为你不能序列化它。但是，您可以尝试使用 p/invoke 和复制链句柄，方法是调用 CertDuplicateCertificateChain 函数并将现有链句柄作为参数传递。也就是说，创建另一个 X509Chain 类型的静态字段，并在回调函数中以这种方式分配它：

localChain = new X509Chain(Win32.CertDuplicateCertificateChain(chain.ChainContext));

函数定义可能是这样的：

static class Win32 {
    [DllImport("crypt32.dll", SetLastError = true)]
    public static extern IntPtr CertDuplicateCertificateChain(IntPtr pChainContext);
    [DllImport("crypt32.dll", SetLastError = true)]
    public static extern void CertFreeCertificateChain(IntPtr pChainContext);
}

不要忘记手动处理本地链实例以避免内存泄漏。我还没有测试过这种复制链的方法，但这是我首先要尝试的方法。

通过 ServerCertificateCustomValidationCallback 验证后可访问 X509Certificate2

Make X509Certificate2 accessible after validation via ServerCertificateCustomValidationCallback

c#

x509certificate2