HttpClient 默认会拒绝无效 SSL 证书
默认情况下，
HttpClient（底层通过
ServicePointManager或
HttpClientHandler.ServerCertificateCustomValidationCallback）会对 TLS/SSL 证书做严格校验：域名不匹配、过期、签发者不受信任、链不完整等情况都会触发
HttpRequestException，附带类似
The SSL connection could not be established的错误信息。这不是 bug，是安全默认行为。
绕过验证仅用于开发或内网测试
生产环境绝不应禁用证书验证。仅在以下场景可临时启用自定义验证逻辑：
调用本地自签名 API（如https://localhost:5001） 对接测试环境的私有 CA 签发证书（CA 未预装在系统信任库） 调试第三方服务证书问题，需观察原始响应内容
正确做法是：实现
ServerCertificateCustomValidationCallback，而非直接返回
true。示例：
var handler = new HttpClientHandler();
handler.ServerCertificateCustomValidationCallback = (request, cert, chain, errors) =>
{
// 允许自签名证书（仅限开发）
if (errors == SslPolicyErrors.RemoteCertificateNotAvailable ||
errors == SslPolicyErrors.RemoteCertificateNameMismatch)
{
return true;
}
// 其他错误（如过期、吊销）仍拒绝
return errors == SslPolicyErrors.None;
};
var client = new HttpClient(handler);
验证失败时 chain 和 errors 的常见组合
chain是证书链对象，
errors是位掩码枚举，常遇到的有：
SslPolicyErrors.RemoteCertificateNotAvailable：服务器没提供证书（极少见）
SslPolicyErrors.RemoteCertificateNameMismatch：CN 或 SAN 不匹配（如用 IP 访问但证书只含域名）
SslPolicyErrors.RemoteCertificateChainErrors：证书链验证失败（缺少中间 CA、根 CA 不受信） 多个错误可能同时存在，例如
RemoteCertificateNameMismatch | RemoteCertificateChainErrors
注意：
chain?.TrustStatus.Status在 .NET 5+ 可提供更细粒度错误（如
X509ChainStatusFlags.Revoked），但需手动检查
chain.ChainStatus数组。
全局设置（不推荐）会影响所有 HTTP 请求
避免使用
ServicePointManager.ServerCertificateValidationCallback，它作用于整个 AppDomain，会干扰其他组件（如
WebClient、
SmtpClient）。尤其在 ASP.NET Core 中，该设置可能被中间件覆盖或引发竞态。始终优先使用
HttpClientHandler实例级配置。
另外，.NET Core 3.1+ 默认启用 TLS 1.2+，若目标服务仅支持 TLS 1.0（已废弃），需显式设置
handler.SslProtocols = SslProtocols.Tls12；但不要降级到不安全协议。
真正难处理的是证书链中缺失中间 CA —— 这必须让服务端修复或客户端手动加载中间证书到信任库，代码层无法“绕过”。
