.NET 8升级至.NET 9后调用Bloomberg SOAP服务遇SSL握手错误

可能导致.NET 9握手失败的变更 #

• TLS 1.3默认优先级提升：.NET 9默认将TLS 1.3设为优先协商协议，尽管ClientHello包含TLS 1.2，但部分服务器对TLS 1.3的客户端证书流程兼容性不佳，可能导致握手中断。
• SChannel底层行为调整：.NET 9可能修改了SChannel的默认配置，例如加密套件顺序、证书验证逻辑或密钥交换算法的优先级，与Bloomberg服务器的要求不匹配。
• X509Certificate2加载逻辑变化：即使使用相同的X509KeyStorageFlags，.NET 9对证书密钥的存储和访问权限处理可能有所不同，导致证书无法正确传递到握手流程。
• 代理处理逻辑差异：.NET 9的代理解析或证书传递机制可能发生变化，当通过Fiddler等代理时，证书无法正确被代理转发，而Azure环境无代理时可正常运行。

可尝试的解决方法 #

1. 强制指定TLS 1.2协议 #

在创建客户端前显式设置仅使用TLS 1.2，排除TLS 1.3的影响：

// 在GetClient方法中添加以下代码
System.Net.ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12;

2. 调整证书加载方式 #

尝试不同的证书加载策略，避免持久化密钥或使用用户存储：

// 改用EphemeralKeySet，不持久化密钥到系统存储
X509Certificate2 clientCert = new X509Certificate2(rawData, "zzzzz",
    X509KeyStorageFlags.EphemeralKeySet | X509KeyStorageFlags.Exportable);

或者将证书导入到Windows本地计算机存储，直接从存储中获取：

// 从本地计算机存储加载证书
var store = new X509Store(StoreName.My, StoreLocation.LocalMachine);
store.Open(OpenFlags.ReadOnly);
var certs = store.Certificates.Find(X509FindType.FindByThumbprint, "证书指纹", false);
X509Certificate2 clientCert = certs[0];
store.Close();

3. 启用SChannel日志排查详细错误 #

启用Windows的SChannel日志，获取更详细的握手失败原因：

1. 打开注册表编辑器，定位到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL
2. 创建EventLogging项，添加DWORD值LogLevel，设置为0x00000003（启用错误和警告日志）
3. 重启系统后，查看事件查看器中的Windows日志 -> 系统下的SChannel事件

4. 临时禁用代理 #

测试不使用代理时的连接情况，确认是否是代理导致的问题：

// 在GetBinding方法中设置不使用默认代理
binding.UseDefaultWebProxy = false;

5. 调整加密套件优先级 #

手动指定与.NET 8一致的加密套件顺序，匹配服务器要求：

// 自定义WCF绑定的SSL设置
var binding = new BasicHttpBinding();
// ... 其他绑定配置 ...
var sslBehavior = new SslStreamSecurityBehavior();
sslBehavior.SslProtocols = SslProtocols.Tls12;
sslBehavior.CipherSuitesPolicy = new CipherSuitesPolicy(new[]
{
    TlsCipherSuite.TlsEcdheRsaWithAes256GcmSha384,
    TlsCipherSuite.TlsEcdheRsaWithAes128GcmSha256,
    // 添加.NET 8中使用的其他加密套件
});
binding.EndpointBehaviors.Add(sslBehavior);

6. 用HttpClient验证证书有效性 #

使用HttpClient模拟相同的请求，排除WCF特定问题：

var handler = new HttpClientHandler();
handler.ClientCertificates.Add(clientCert);
handler.SslProtocols = SslProtocols.Tls12;
var client = new HttpClient(handler);
var response = await client.GetAsync("https://dlws.bloomberg.com/dlps");
response.EnsureSuccessStatusCode();

内容的提问来源于stack exchange，提问作者sofsntp

附翻译后的Fiddler错误信息：

fiddler.network.https> 与dlws.bloomberg.com的HTTPS握手（#2652）失败。System.Security.Authentication.AuthenticationException：调用SSPI失败，请查看内部异常。< 收到的消息意外或格式错误
Win32（SChannel）原生错误代码：0x80090326（注：该错误通常表示TLS握手过程中收到了无效或不符合预期的消息，可能与协议版本、加密套件或证书验证有关）