MqttClientTlsOptions.CertificateValidationHandler 是 MQTTnet 库中用于自定义 TLS 证书验证逻辑的关键回调函数。在 MQTT 客户端与服务器建立 TLS 连接时，该回调允许你覆盖默认的证书验证流程，实现自定义的安全策略。

核心作用

当 MQTT 客户端通过 TLS 连接到服务器时，系统会默认验证服务器证书的有效性（如证书链、有效期、域名匹配等）。CertificateValidationHandler 允许你：

自定义验证规则：例如，接受自签名证书、特定 CA 颁发的证书。
实现额外安全检查：如验证证书指纹、检查证书扩展字段。
禁用部分验证（不推荐，但在测试环境中有用）。

回调函数签名

public delegate bool X509CertificateValidator(X509Certificate certificate,X509Chain chain,SslPolicyErrors sslPolicyErrors,IMqttClientOptions options);

参数说明

certificate
服务器提供的证书（X509Certificate 类型，可转换为 X509Certificate2）。
chain
证书链对象，包含从服务器证书到根 CA 的完整路径，可用于检查证书链状态。
sslPolicyErrors
系统默认验证产生的错误（枚举类型）：
- None：无错误，证书有效。
- RemoteCertificateChainErrors：证书链验证失败（如证书未由受信任的 CA 签名）。
- RemoteCertificateNameMismatch：证书域名与连接的服务器域名不匹配。
- RemoteCertificateNotAvailable：服务器未提供证书。
options
当前 MQTT 客户端的连接选项，可用于获取额外上下文（如服务器地址）。

返回值

true：接受证书，允许建立连接。
false：拒绝证书，终止连接。

常见应用场景

1. 接受自签名证书

var tlsOptions = new MqttClientTlsOptions
{UseTls = true,CertificateValidationHandler = (cert, chain, errors, opts) =>{// 仅在测试环境接受所有证书#if DEBUGreturn true;#else// 生产环境使用默认验证return errors == SslPolicyErrors.None;#endif}
};

2. 验证证书指纹（Thumbprint）

var expectedThumbprint = "1234567890ABCDEF..."; // 预期的证书 SHA-1 指纹tlsOptions.CertificateValidationHandler = (cert, chain, errors, opts) =>
{// 先检查系统验证结果if (errors == SslPolicyErrors.None)return true;// 若域名不匹配，直接拒绝if ((errors & SslPolicyErrors.RemoteCertificateNameMismatch) != 0)return false;// 转换为 X509Certificate2 以获取指纹using var cert2 = new X509Certificate2(cert);return cert2.Thumbprint.Equals(expectedThumbprint, StringComparison.OrdinalIgnoreCase);
};

3. 验证特定 CA 颁发的证书

// 加载自定义 CA 证书
var customCaCert = new X509Certificate2(File.ReadAllBytes("custom_ca.crt"));tlsOptions.CertificateValidationHandler = (cert, chain, errors, opts) =>
{// 清空默认 CA，只信任自定义 CAchain.ChainPolicy.ExtraStore.Add(customCaCert);chain.ChainPolicy.TrustMode = X509ChainTrustMode.CustomRootTrust;// 重新验证return chain.Build(new X509Certificate2(cert));
};

CertificateValidationHandler = (certContext) =>
{var chain = certContext.Chain;chain.ChainPolicy.RevocationMode = X509RevocationMode.NoCheck;chain.ChainPolicy.RevocationFlag = X509RevocationFlag.ExcludeRoot;chain.ChainPolicy.VerificationFlags = X509VerificationFlags.NoFlag;chain.ChainPolicy.VerificationTime = DateTime.UtcNow;chain.ChainPolicy.UrlRetrievalTimeout = new TimeSpan(0, 0, 0);chain.ChainPolicy.CustomTrustStore.Add(ca);chain.ChainPolicy.TrustMode = X509ChainTrustMode.CustomRootTrust;var x5092 = new X509Certificate2(certContext.Certificate);return chain.Build(x5092);
},

RevocationMode.NoCheck：不检查证书吊销列表（CRL）或在线证书状态协议（OCSP）。这会跳过证书是否已被 CA 吊销的验证，可能带来安全风险。
RevocationFlag.ExcludeRoot：在检查吊销状态时排除根证书（通常根证书不会被吊销）。
VerificationFlags.NoFlag：不添加任何特殊验证标志，使用默认验证规则。
VerificationTime = DateTime.UtcNow：验证证书在当前时间点是否有效（不过期）。
UrlRetrievalTimeout = TimeSpan.Zero：禁用从网络获取 CRL 或 OCSP 响应的超时等待。
CustomTrustStore.Add(ca)：将指定的 CA 证书（ca）添加到自定义信任存储中。
TrustMode.CustomRootTrust：仅信任自定义存储中的根证书，忽略系统默认的信任根。这意味着只有你明确添加的 CA 证书才会被视为可信。
将服务器证书转换为 X509Certificate2 格式，然后尝试构建完整的证书链。
chain.Build(x5092)：返回 true 表示证书链验证成功，false 表示失败。

4. 记录验证错误（不影响连接）

tlsOptions.CertificateValidationHandler = (cert, chain, errors, opts) =>
{if (errors != SslPolicyErrors.None){Logger.Warning($"证书验证警告: {errors}");foreach (var status in chain.ChainStatus){Logger.Warning($"证书链状态: {status.Status} - {status.StatusInformation}");}}// 仍使用系统默认验证结果return errors == SslPolicyErrors.None;
};