在开发过程中，我们经常会遇到需要在内网环境中部署 ABPvNext 应用的情况。由于内网环境通常不具备公网域名和商业 SSL 证书，使用自签名证书时，常常会遇到 RemoteCertificateNameMismatch 错误。本文将详细介绍如何通过自签名证书解决这个问题。

问题背景

在内网部署 ABPvNext 应用时，HTTPS 是一个常见的安全需求。然而，内网环境通常使用私有 IP 或内部域名，无法直接使用商业 SSL 证书。此时，开发者往往会选择自签名证书，但会遇到以下问题：

• 浏览器提示证书不受信任
• 客户端请求时抛出 RemoteCertificateNameMismatch 异常
• 证书链验证失败

这些问题主要是因为自签名证书的签发机构未被系统信任，或者证书的 Subject Name 与实际访问的域名不匹配。

技术选型：自签名证书 vs 商业证书

在内网环境中，商业证书通常不可行，因为商业证书需要验证域名所有权，而内网域名或 IP 无法通过这种验证。因此，自签名证书成为唯一的选择。自签名证书的优缺点如下：

• 优点：
• 完全免费
• 可以自定义证书的 Subject Name 和有效期

• 适用于内网环境

• 缺点：

• 需要手动信任证书
• 需要额外配置客户端以忽略证书验证错误

核心实现细节

1. 生成自签名证书

我们可以使用 OpenSSL 或 PowerShell 生成自签名证书。以下是使用 PowerShell 生成证书的步骤：

1. 打开 PowerShell（管理员权限）
2. 运行以下命令生成证书：

   New-SelfSignedCertificate -DnsName "your-internal-ip-or-hostname" -CertStoreLocation "cert:\LocalMachine\My"

3. 导出证书为 .pfx 文件：

   $cert = Get-ChildItem -Path "cert:\LocalMachine\My" | Where-Object { $_.Subject -match "your-internal-ip-or-hostname" }
   Export-PfxCertificate -Cert $cert -FilePath "C:\path\to\cert.pfx" -Password (ConvertTo-SecureString -String "your-password" -Force -AsPlainText)

2. 配置 ABPvNext 应用

在 ABPvNext 中，我们需要在 appsettings.json 中配置 HTTPS 和证书路径：

{
  "Kestrel": {
    "Endpoints": {
      "Https": {
        "Url": "https://*:5001",
        "Certificate": {
          "Path": "C:\\path\\to\\cert.pfx",
          "Password": "your-password"
        }
      }
    }
  }
}

3. 解决 RemoteCertificateNameMismatch

在客户端代码中，我们需要自定义 HttpClient 以忽略证书验证错误：

var handler = new HttpClientHandler
{
    ServerCertificateCustomValidationCallback = (message, cert, chain, errors) =>
    {
        if (errors == SslPolicyErrors.RemoteCertificateNameMismatch)
        {
            // 忽略证书名称不匹配的错误
            return true;
        }
        return errors == SslPolicyErrors.None;
    }
};

var client = new HttpClient(handler);

安全性考量

虽然自签名证书解决了内网部署的问题，但也带来了一些安全隐患：

• 证书信任链：自签名证书的根证书不在系统的信任列表中，需要手动导入。
• 密钥管理：证书的私钥需要妥善保管，避免泄露。

为了提升安全性，建议在内网环境中部署一个私有 CA（证书颁发机构），并让所有客户端信任该 CA 签发的证书。

生产环境避坑指南

常见错误及解决方案

1. 证书过期：自签名证书默认有效期为 1 年，建议设置较长的有效期，并在到期前更新。
2. 证书名称不匹配：确保证书的 Subject Name 与访问的域名或 IP 完全一致。
3. 客户端不信任证书：在客户端机器上手动导入证书到“受信任的根证书颁发机构”。

总结

通过自签名证书，我们可以在内网环境中快速部署 ABPvNext 应用并启用 HTTPS。虽然自签名证书有一些局限性，但在内网环境中是一个经济高效的解决方案。希望本文能帮助你顺利解决 RemoteCertificateNameMismatch 问题。

如果你有更好的解决方案或建议，欢迎在评论区分享！