如何设置“ServerCertificateValidationCallback”属性恢复到其默认行为？

Question

我在单个方法中使用以下代码行来显式检查并信任来自以下主机的 SSL 证书：MyTrustedCompany.com：

ServicePointManager.ServerCertificateValidationCallback = Function(obj As [Object], certificate As X509Certificate, chain As X509Chain, errors As SslPolicyErrors) (certificate.Subject.Contains("CN=MyTrustedCompany.com"))

代码没有问题 -> 100% 完美运行。

问题是，它影响太深远了。我认为它的范围只会在我贴上它的方法内，但显然它是“ServicePointManager”对象上的共享属性，并且必须在整个应用程序中持续存在，这是我不希望的。

问题是后来我调用我的网络服务等并得到“无法建立信任关系...”异常。这是因为在上面的代码行中，我检查了特定于该方法的 SSL 证书的主机名。我快速测试了从回调返回“True”，因此所有证书都将受到信任，而不是检查特定名称（即 MyTrustedCompany）和后续请求有效。这就是我知道这个回调分配比那个单一方法到达父亲的方式。当然，我可以扩展回调以包含所有其他证书名称，但我宁愿将“ServerCertificateValidationCallback”设置回其默认行为。就像下面的伪代码一样：

ServicePointManager.ServerCertificateValidationCallback = Nothing  'Default checking behavior

如何删除自定义验证并将其设置回默认行为？谢谢！

Answer 1

这实际上看起来有效（就这么简单）并使对象以其默认方式运行。

ServicePointManager.ServerCertificateValidationCallback = Nothing

Answer 2

您只想对某些 URL 返回 true，
但除此之外，这就是您想要的，留下了使用多个委托的可能性。每个回调的逻辑可以包括通过反射进行检查，以便回调仅在从某些组件调用时返回 true，从而在某些 URL 和某些应用程序之间创建某种隧道。

使用此代码的一种方法：
1. 在对象生命周期的早期定义 mIgnoreBadCertificates 委托
2. 将包含“beSecure”代码的属性设置为 true
3. 发送 Http 请求。
4. 将属性设置为 false。这非常重要，应该以保证它被调用的方式实现。 IDisposable 模式是一种选择。

 private System.Net.Security.RemoteCertificateValidationCallback mIgnoreBadCertificates = new
    System.Net.Security.RemoteCertificateValidationCallback(
      delegate { return true; });

if (beSecure)
    {   //require secure communications
        System.Net.ServicePointManager.ServerCertificateValidationCallback -= mIgnoreBadCertificates;
        Iwds.EventLogger.LogVeryFrequentEvent("Requiring Good Certificates from Remote Sites");
    }
    else
    {   /// Allow connections to SSL sites that have unsafe certificates.
        System.Net.ServicePointManager.ServerCertificateValidationCallback += mIgnoreBadCertificates;
        Iwds.EventLogger.LogVeryFrequentEvent("Ignoring Bad Certificates from Remote Sites");
    }

Answer 3

解决问题的关键点是 RemoteCertificateValidationCallback 的 sender 参数是 WebRequest。您可以根据您的网络请求检查发件人，这样您只需检查您的网络请求。这是我的（相对未经测试的）解决方案：

// Main Code

request = (FtpWebRequest)FtpWebRequest.Create("ftp://example.com");

using(var validator = new WebRequestCertificateValidator(request))
{
    // etc...
}

// WebRequestCertificateValidator Class

public sealed class WebRequestCertificateValidator : IDisposable
{
    private bool disposed;

    private WebRequest request;

    private RemoteCertificateValidationCallback callback;

    /// <summary>
    /// Creates a certificate validator that allows all certificates for the supplied web request.
    /// </summary>
    /// <param name="request">The WebRequest to validate for.</param>
    public WebRequestCertificateValidator(WebRequest request) : this(request, null)
    {
        //
    }

    /// <summary>
    /// Creates a certificate validator that only allows certificates for the supplied web request of the callback returns true.
    /// </summary>
    /// <param name="request">The WebRequest to validate for.</param>
    /// <param name="callback">The delegate that will be called to validate certificates for the WebRequest.</param>
    public WebRequestCertificateValidator(WebRequest request, RemoteCertificateValidationCallback callback)
    {
        this.disposed = false;

        this.request = request;

        this.callback = callback;

        ServicePointManager.ServerCertificateValidationCallback += this.InternalCallback;
    }

    private bool InternalCallback(object sender, X509Certificate certificate, X509Chain chain, SslPolicyErrors sslPolicyErrors)
    {
        WebRequest request = sender as WebRequest;

        if(request != null)
        {
            if(request == this.request)
            {
                if(this.callback != null)
                {
                    return this.callback(sender, certificate, chain, sslPolicyErrors);
                }
            }
        }

        return true;
    }

    public void Dispose()
    {
        if(!this.disposed)
        {
            ServicePointManager.ServerCertificateValidationCallback -= this.InternalCallback;

            this.callback = null;

            this.request = null;

            this.disposed = true;
        }
    }
}

Answer 4

public class OAuthRequestHandler : WebRequestHandler
{
    public OAuthRequestHandler() : base()
    {
        base.ServerCertificateValidationCallback  += this.InternalCallback;
    }

    private bool InternalCallback(object sender, X509Certificate certificate, X509Chain chain, SslPolicyErrors sslPolicyErrors)
    {
        return certificate.Subject.Contains("CN=MyTrustedCompany.com");
    }
}

在我的program.cs命令行测试中：

HttpClient client = new HttpClient(new OAuthRequestHandler());
responseString = await client.GetStringAsync("https://localhost:2345");

可以使用证书和发件人参数执行更多操作，但OP要求执行上述操作。

Answer 5

确保自定义回调可靠地恢复并且整个过程也是线程安全的唯一可靠方法是将需要颠覆回调的代码放入单独的进程中。在许多情况下，这很容易做到 - 例如，您可以使用 Process 类运行单独的进程代码并向其传递命令行。 gRPC 或 WCF 是其他通信选项。

这样，只有单独的进程设置自定义回调，主进程不受影响。